日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,735 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 パス・トラバーサル 直近1年 の検索結果：481–520 件目を表示（ページ 13）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
EchoはGoのWebフレームワークです。Windows上のバージョン5.0.0から5.0.2において、Echoのmiddleware.Staticがデフォルトのファイルシステムを使用する場合、バックスラッシュを介したパストラバーサルが可能であり、未認証のリモートから静的ルート外のファイルを読み取ることができます。middleware/static.goでは、要求されたパスがアンエスケープされ、path.Clean（URLセマンティクス）で正規化されます。path.Cleanはバックスラッシュをパス区切り文字として扱わないため、"..\"のシーケンスは正規化されたパスに残ります。その結果のパスはcurrentFS.Open(...)に渡されます。ファイルシステムがデフォルト（nil）のままだと、EchoはdefaultFSを使用し、これはos.Openを呼び出します（echo.go:792）。Windowsでは、os.Openがバックスラッシュをパス区切り文字として扱い、"..\"を解決するため、静的ルート外へのパストラバーサルが可能になります。この問題はバージョン5.0.3で修正されました。
SiYuanは個人用ナレッジマネジメントシステムです。バージョン3.5.5より前の/api/file/getFileエンドポイントでは、大文字小文字を区別する文字列の等価性チェックを使用して機密ファイルへのアクセスをブロックしていました。しかし、Windowsのような大文字小文字を区別しないファイルシステムでは、攻撃者が混在する大文字小文字のパスを使用して制限を回避し、保護された設定ファイルを読み取ることが可能でした。この脆弱性はバージョン3.5.5で修正されています。
エムオーテックス株式会社が提供するLANSCOPE エンドポイントマネージャー オンプレミス版には、次の脆弱性が存在します。 ・パストラバーサル（CWE-22）- CVE-2026-25785 この脆弱性情報は、次の方が製品開発者に直接報告し、製品開発者との調整を経て、製品利用者への周知を目的にJVNでの公表に至りました。 報告者：GMOサイバーセキュリティ byイエラエ株式会社 古川 和祈 氏、多木 優馬 氏、竹田 広太 氏、加倉井 一平 氏、千田 雅明 氏、デニス ファウストヴ 氏
InvoicePlaneは、請求書、クライアント、および支払いを管理するためのセルフホスト型オープンソースアプリケーションです。InvoicePlaneのバージョン1.6.3まで（含む）において、`Guest`モジュールの`Get`コントローラーの`get_file`メソッドにパストラバーサルの脆弱性が存在します。この脆弱性によって、認証されていない攻撃者が入力ファイル名を操作し、サーバー上の任意のファイルを読み取ることが可能となります。その結果、データベースの資格情報を含む設定ファイルなどの機密情報が漏洩するおそれがあります。バージョン1.6.4でこの問題は修正されています。
Outlineは共同ドキュメント作成を可能にするサービスです。バージョン1.4.0より前のバージョンでは、JSONインポートプロセス中に、インポートされたJSONのattachments[].keyの値が検証されずに直接path.join(rootPath, node.key)に渡され、その後fs.readFileで読み取られていました。ここに../などのパストラバーサルシーケンスや絶対パスを埋め込むことで、攻撃者はサーバ上の任意のファイルを読み取り、添付ファイルとしてインポートすることが可能でした。この脆弱性はバージョン1.4.0で修正されています。
Signal K Serverは、船舶の中央ハブで動作するサーバーアプリケーションです。バージョン2.20.3以前では、Signal K ServerのapplicationData APIにパス・トラバーサルの脆弱性が存在しており、Windowsシステム上の認証済みユーザーがファイルシステム上の任意のファイルおよびディレクトリを読み取り、書き込み、リスト表示できました。validateAppId()関数はスラッシュ（/）をブロックしますが、Windowsのpath.join()でディレクトリ区切り文字として扱われるバックスラッシュ（\）はブロックしません。このため、攻撃者は意図されたapplicationDataディレクトリから脱出することが可能でした。この脆弱性はバージョン2.20.3で修正されています。
ZenTao バージョン 21.7.8 までに脆弱性が確認されました。この脆弱性は、コンポーネント Backup Handler のファイル editor/control.php の delete 関数に影響を及ぼします。引数 fileName の操作によりパストラバーサルが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
ZenTaoのバージョン21.7.8以下に脆弱性が確認されました。この問題は、Committerコンポーネントのeditor/control.phpファイルにあるdelete関数に影響を与えます。引数filePathの操作によりパス・トラバーサルが発生します。バージョン21.7.9にアップグレードすることで、この問題を解決できます。影響を受けるコンポーネントはアップグレードする必要があります。
NiceGUIはPythonベースのUIフレームワークです。バージョン3.7.0以前のNiceGUIのFileUpload.nameプロパティは、クライアントから提供されたファイル名のメタデータをサニタイズせずに公開していました。そのため、開発者がUPLOAD_DIR / file.nameのパターンを使用する場合にパストラバーサルを可能にしていました。../シーケンスを含む悪意のあるファイル名は、攻撃者が意図したディレクトリ外にファイルを書き込むことを許し、脆弱なデプロイメントパターンにおけるアプリケーションファイルの上書きを通じてリモートコード実行の可能性を引き起こしました。この設計は一般的なコミュニティパターンに従うアプリケーションに広く影響を与えるセキュリティ上の落とし穴を生み出します。なお、悪用にはfile.nameをファイルシステムのパスにサニタイズせずに組み込むアプリケーションコードが必要です。固定パス、生成されたファイル名、または明示的なサニタイズを使用するアプリケーションは影響を受けません。この脆弱性はバージョン3.7.0で修正されました。
calibreは、電子書籍の閲覧、変換、編集、およびカタログ作成を行うクロスプラットフォームの電子書籍マネージャーです。バージョン9.2.1およびそれ以前には、ユーザーが書き込み権限を持つ任意の場所にファイルを書き込むことを可能にするパストラバーサルの脆弱性が含まれていました。Windows環境では、ペイロードをスタートアップフォルダに書き込むことでリモートコードが実行され、次回ログイン時に実行されます。関数extract_picturesはstartswith('Pictures')のみをチェックし、'..'のシーケンスを適切にサニタイズしていません。calibre自身のutils/zipfile.py内のZipFile.extractall()は_get_targetpath()を介して'..'をサニタイズしますが、extract_pictures()は手動でのzf.read()とopen()の使用によりこれを回避しています。この問題はバージョン9.3.0で修正されました。
calibreは、電子書籍の閲覧、変換、編集、およびカタログ作成のためのクロスプラットフォームの電子書籍管理ソフトウェアです。バージョン9.2.1およびそれ以前のバージョンには、PDBリーダー（132バイトおよび202バイトのヘッダーの両方のバリアント）を介したパストラバーサルの脆弱性があり、ユーザーが書き込み権限を持つ任意の場所に、任意の拡張子および任意の内容のファイルを任意に書き込むことが可能でした。ファイルは「wb」モードで書き込まれ、既存のファイルが静かに上書きされます。この脆弱性により、コード実行の可能性やファイル破損によるサービス拒否（DoS）が引き起こされることがありました。この問題はバージョン9.3.0で修正されました。
Crawl4AIのバージョン0.8.0未満には、Docker APIのデプロイメントにローカルファイルインクルージョンの脆弱性があります。/execute_js、/screenshot、/pdf、および/htmlエンドポイントはfile:// URLを受け入れるため、認証されていないリモート攻撃者がサーバのファイルシステムから任意のファイルを読み取ることが可能です。攻撃者は/etc/passwd、/etc/shadow、アプリケーションの設定ファイル、および/proc/self/environを介した環境変数などの機密ファイルにアクセスでき、これにより資格情報やAPIキー、内部アプリケーション構造が露出する可能性があります。
OpenClawはパーソナルAIアシスタントです。OpenClawバージョン2026.2.14以前では、Feishu拡張機能の`sendMediaFeishu`において、攻撃者が制御する`mediaUrl`の値をローカルファイルシステムのパスとして扱い、直接読み取れる問題がありました。攻撃者がツール呼び出し（直接的またはプロンプトインジェクション経由）に影響を与えられる場合、`mediaUrl`に`/etc/passwd`のようなパスを指定することで、ローカルファイルの情報を外部に漏洩させる可能性があります。修正を含むOpenClawバージョン2026.2.14以降にアップグレードしてください。この修正では、この経路からの直接的なローカルファイルの読み取りを削除し、メディア読み込みをローカルルート制限を強制する強化されたヘルパー経由でルーティングするようにしています。
OpenClawはパーソナルAIアシスタントです。バージョン2026.2.14より前のバージョンでは、認証済みの攻撃者がブラウザツールの`upload`アクションに絶対パスまたはパストラバーサルシーケンスを渡すことで、Gatewayホストから任意のファイルを読み取ることが可能でした。サーバーはこれらのパスをPlaywrightの`setInputFiles()` APIに、安全なルートに制限することなく渡していました。攻撃者はGatewayのHTTPインターフェースにアクセスし（もしくは同じブラウザ制御用フックエンドポイントを呼び出し）、Gatewayの設定で必要とされる有効な認証（ベアラートークンまたはパスワード）を提示しなければなりません（一般的なデフォルト設定では、Gatewayはループバックにバインドされ、オンボーディングウィザードはループバック用であってもゲートウェイトークンを生成します）。さらに、対象のセッションまたはコンテキストに対してツールポリシーで`browser`ツールが許可されており、ブラウザサポートが有効である必要があります。オペレーターがGatewayをループバック以外（LAN、tailnet、カスタムバインド、リバースプロキシ、トンネル等）に公開した場合、影響はそれに応じて増加します。バージョン2026.2.14以降では、アップロードパスはOpenClawの一時アップロードルート（`DEFAULT_UPLOAD_DIR`）に限定され、トラバーサルや脱出パスは拒否されるようになりました。
node-tarはNode.js向けのフル機能を備えたTarです。バージョン7.5.7以下のデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが展開ディレクトリ内に展開ルート外のファイルを指すハードリンクを作成でき、展開ユーザーとして任意のファイルを読み書きできます。パス保護を回避し、アーカイブ展開を直接のファイルシステムアクセス手段に変えるため、本脆弱性の深刻度は高いと評価されています。この問題はバージョン7.5.8で修正されました。
OpenClawはパーソナルAIアシスタントです。バージョン2026.1.12から2026.2.12までの間、OpenClawブラウザのダウンロードヘルパーはサニタイズされていない出力パスを受け入れていました。ブラウザコントロールゲートウェイルートを通じて呼び出されると、これによりパスのトラバーサルが可能になり、意図されたOpenClawの一時ダウンロードディレクトリ外へダウンロードを書き込むことができました。この問題はAIエージェントツールスキーマ（`download`アクションなし）では発生しません。悪用するためには認証済みCLIアクセスまたは認証済みゲートウェイRPCトークンが必要です。バージョン2026.2.13でこの問題は修正されました。
Rapid7 Velociraptor のバージョン 0.75.6 より前には、Linux サーバー上でディレクトリトラバーサルの問題があり、不正なクライアントが datastore ディレクトリ外にファイルをアップロードできる脆弱性があります。通常、Velociraptor は datastore ディレクトリ内にのみ書き込みを許可しています。この問題は、ディレクトリ名の末尾が "." である場合に不十分なサニタイズが行われ、末尾の "." のみが "%2E" とエンコードされることに起因します。ファイルは誤った場所に書き込まれる可能性がありますが、格納されるディレクトリは必ず "%2E" で終わる必要があるため、この脆弱性の影響は限定的であり、重要なファイルが上書きされるのを防ぎます。
CoCoTeaNet CyreneAdmin 1.3.0までに脆弱性が発見されました。この脆弱性はコンポーネント「Image Handler」のファイル/api/system/user/getAvatarの不明な部分に影響を与えます。引数Avatarの操作によってパストラバーサルが発生します。この攻撃はリモートから実行可能です。エクスプロイトは公開されており、悪用される可能性があります。
Splunk Enterpriseのバージョン10.2.0未満、10.0.3、9.4.5、9.3.7、および9.2.9、およびSplunk Cloud Platformのバージョン10.1.2507.0未満、10.0.2503.9、9.3.2411.112、および9.3.2408.122には、「admin」または「power」Splunkロールを持たない低権限ユーザーが、オブジェクト内に注入されたSPLクエリを含むデータモデルを作成する際にリスキーコマンドのSPL保護を回避できる脆弱性があります。この脆弱性により、パストラバーサルの脆弱性を利用して保護機構をバイパスすることが可能です。
Blossom 1.17.1までに脆弱性が発見されました。この問題はコンポーネントFile Uploadのファイルblossom-backend/common/common-iaas/src/main/java/com/blossom/common/iaas/blos/BLOSManager.javaの関数putに影響します。この操作によりパストラバーサルが発生します。攻撃はリモートで開始される可能性があります。エクスプロイトは公開されており、悪用される可能性があります。ベンダーには早期にこの公開について連絡しましたが、何の回答も得られませんでした。
Valmetが提供するValmet DNA Engineering Web Toolsには、次の脆弱性が存在します。 ・パストラバーサル（CWE-22） - CVE-2025-15577
Quick.Cartはテーマ選択機構においてローカルファイルインクルージョンおよびパストラバーサルの脆弱性を持っています。Quick.Cartは特権ユーザーに対してファイル名の拡張子のみを検証し、任意のファイル内容をアップロードすることを許可します。これにより攻撃者はアップロードされたPHPコードをインクルードおよび実行でき、サーバー上でリモートコードを実行することが可能になります。ベンダーにはこの脆弱性について早期に通知されましたが、詳細な脆弱性情報や影響を受けるバージョン範囲についての回答はありませんでした。バージョン6.7のみが検証され脆弱であることが確認されており、他のバージョンは未検証であるため脆弱である可能性もあります。
changedetection.ioは無料のオープンソースのウェブページ変更検出ツールです。バージョン0.53.2より前のバージョンでは、`/static/group/filename`ルートが`group=".."`を受け入れており、その結果`send_from_directory("static/..", filename)`が実行されていました。これによりベースディレクトリが`/app/changedetectionio`まで上がり、認証なしでアプリケーションのソースファイル（例：`flask_app.py`）のローカルファイルを読み取ることができました。バージョン0.53.2でこの問題は修正されました。
Backstageは開発者ポータルを構築するためのオープンフレームワークであり、@backstage/plugin-techdocs-nodeはTechDocs用の共通のnode.js機能を提供します。@backstage/plugin-techdocs-nodeの1.13.11および1.14.1より前のバージョンには、TechDocsのローカルジェネレーターにパストラバーサルの脆弱性が存在しました。Backstageが`techdocs.generator.runIn: local`で構成されている場合に攻撃者はホストファイルシステムの任意のファイルを読み取ることが可能です。信頼されていないソースからのドキュメントを処理する際、MkDocsはビルドプロセス中にdocsディレクトリ内のシンボリックリンクをたどります。ファイルの内容は生成されたHTMLに埋め込まれ、ドキュメントを閲覧できるユーザーに公開されます。この脆弱性は`@backstage/plugin-techdocs-node`のバージョン1.13.11および1.14.1で修正されています。いくつかの回避策も利用可能であり、`app-config.yaml`の`runIn`をdockerに切り替えるか、TechDocsのソースリポジトリへの書き込み権限を信頼できるユーザーのみに制限してください。
SliverはカスタムのWireguardネットスタックを使用するコマンド＆コントロールフレームワークです。バージョン1.6.11より前では、ウェブサイトのコンテンツサブシステムにおけるパス・トラバーサルにより、認証されたオペレーターがSliverサーバーホスト上の任意のファイルを読み取ることが可能でした。この問題は認証済みのパス・トラバーサルおよび任意ファイル読み取りの脆弱性であり、認証情報、設定、および鍵が露出する恐れがありました。この脆弱性はバージョン1.6.11で修正されています。
melangeは宣言型パイプラインを使用してapkパッケージを構築できるツールです。バージョン0.11.3から0.40.3未満のmelangeでは、QEMUゲストVMからのtarストリームに悪影響を与えられる攻撃者が、ホスト上の意図されたワークスペースディレクトリ外にファイルを書き込むことが可能でした。retrieveWorkspace関数は、パスがワークスペース内に留まっているかどうかを検証せずにtarエントリを抽出するため、../シーケンスを用いたパストラバーサル攻撃が成立しました。この問題はバージョン0.40.3で修正されました。
melangeは宣言的パイプラインを使用してapkパッケージを構築できるツールです。バージョン0.14.0から0.40.3未満の間、melangeの構成ファイルに影響を与えられる攻撃者（例えば、プルリクエスト駆動のCIやビルド・アズ・ア・サービスのシナリオを通じて）は、ホストシステムから任意のファイルを読み取ることが可能でした。pkg/config/config.goのLicensingInfos関数はcopyright[].license-pathに指定されたライセンスファイルを読み取りますが、そのパスがワークスペースディレクトリ内にあるかどうかを検証しなかったため、../シーケンスを利用したパストラバーサルを許していました。トラバーサルされたファイルの内容は生成されたSBOMにライセンステキストとして埋め込まれ、ビルドアーティファクトを通じて機密データが漏洩する可能性がありました。この問題はバージョン0.40.3で修正されました。
lakeFSは、オブジェクトストレージをGitのようなリポジトリに変換するオープンソースツールです。1.77.0以前のバージョンでは、ローカルブロックアダプター（pkg/block/local/adapter.go）が認証済みユーザーに対して、指定されたストレージ境界外のファイルを読み書きすることを許可していました。verifyRelPath関数はstrings.HasPrefix()を使用して、要求されたパスが設定されたストレージディレクトリ内にあることを検証していましたが、このチェックはパスのプレフィックスのみを検証し、パスセパレータを必要としなかったため、類似した名前の隣接ディレクトリへのアクセスを許してしまいました。また、アダプターは解決されたパスがアダプターのベースパス内にあることを検証していましたが、オブジェクト識別子が指定されたストレージネームスペース内にあるかどうかは検証していませんでした。これにより、攻撃者はオブジェクト識別子内にパストラバーサルシーケンスを使用して、他のネームスペースのファイルにアクセスすることが可能でした。この問題はバージョンv1.77.0で修正されました。
BACnetスタックは、組み込みシステム向けのBACnetオープンソースプロトコルスタックのCライブラリです。1.5.0.rc3以前のバージョンには、ユーザーが提供するファイルパスの検証を行わないファイル書き込み機能に脆弱性が存在しており、攻撃者が任意のディレクトリにファイルを書き込むことが可能でした。影響を受けるファイルはapps/readfile/main.cおよびports/posix/bacfile-posix.cです。この脆弱性は1.5.0.rc3で修正されています。
wlcはWeblateのREST APIを使用するWeblateのコマンドラインクライアントです。1.17.2より前のバージョンでは、多言語翻訳のダウンロード時に細工されたサーバーからの指示によって任意の場所に書き込むことが可能でした。この脆弱性は1.17.2で修正されました。
esm.shはウェブ開発向けのビルド不要コンテンツ配信ネットワーク（CDN）です。Goの擬似バージョン0.0.0-20260116051925-c62ab83c589eより前のバージョンには、不完全な修正によりパス・トラバーサルの脆弱性が存在していました。`path.Clean`はパスを正規化しますが、悪意のあるtarファイル内の絶対パスを防止しません。擬似バージョン0.0.0-20260116051925-c62ab83c589eに対応するコミット（https://github.com/esm-dev/esm.sh/commit/9d77b88c320733ff6689d938d85d246a3af9af16）にて、この問題は修正されています。
node-tarはNode.js向けのTarライブラリです。node-tarライブラリ（バージョン7.5.2以下）では、preservePathsがfalse（デフォルトの安全な動作）に設定されている場合、Link（ハードリンク）およびSymbolicLinkエントリのlinkpathを適切にサニタイズしません。このため、悪意のあるアーカイブが抽出ルート制限を回避し、ハードリンクを介して任意のファイルを上書きしたり、絶対シンボリックリンクターゲットを介してSymlink Poisoningを引き起こしたりする可能性があります。この脆弱性はバージョン7.5.3で修正されています。
calibreは電子書籍管理ソフトウェアです。バージョン9.2.0以前のCalibreのCHMリーダーにはパストラバーサルの脆弱性が存在し、ユーザーが書き込み権限を持つ任意の場所にファイルを書き込むことが可能です。Windows環境（他のOSでは検証されていません）では、ペイロードをスタートアップフォルダに書き込むことでリモートコード実行（RCE）が可能となり、これは次回のログイン時に実行されます。この脆弱性はバージョン9.2.0で修正されました。
OpenSatKit 2.2.1にはディレクトリトラバーサルの脆弱性があり、攻撃者はFileUtil_GetFileInfo関数に細工された値を渡すことで機密情報にアクセスしたり、任意のファイルを削除したりできる可能性があります。
AXIS Camera Station Proの機能において、管理者でないユーザーが許可されていない情報を閲覧できる脆弱性が存在します。この脆弱性により、不正に情報が閲覧される可能性があります。
Gogsはオープンソースのセルフホスト型Gitサービスです。バージョン0.13.3およびそれ以前のバージョンには、Gitフック編集におけるパストラバーサルを介して任意のファイルを読み書きできる脆弱性が存在します。この問題はバージョン0.13.4および0.14.0+devで修正されています。
Gogsはオープンソースのセルフホスト型Gitサービスです。バージョン0.13.3およびそれ以前のバージョンにおいて、GogsのupdateWikiPage関数にパス・トラバーサルの脆弱性が存在しました。この脆弱性により、リポジトリのWikiへの書き込みアクセス権を持つ認証ユーザーが、Wiki編集フォームのold_titleパラメータを操作して、サーバ上の任意のファイルを削除できてしまいます。この問題はバージョン0.13.4および0.14.0+devで修正されています。
Python-MultipartはPython用のストリーミングマルチパートパーサです。バージョン0.0.22以前では、非デフォルト設定オプションの`UPLOAD_DIR`および`UPLOAD_KEEP_FILENAME=True`を使用している場合にパストラバーサルの脆弱性があります。攻撃者は悪意のあるファイル名を作成することで、アップロードされたファイルをファイルシステムの任意の場所に書き込むことが可能です。ユーザーはバージョン0.0.22にアップグレードしてパッチを適用するか、回避策としてプロジェクト設定で`UPLOAD_KEEP_FILENAME=True`を使用しないようにしてください。
IBM WebSphere Application Server Liberty 17.0.0.3から26.0.0.1までのバージョンにおいて、特権ユーザーがパス・トラバーサルシーケンスを含むzipアーカイブをアップロードすることでファイルを上書きし、その結果、任意のコードを実行できる可能性があります。
Qsync Centralにパストラバーサルの脆弱性が報告されています。リモートの攻撃者がユーザーアカウントを取得すると、この脆弱性を悪用して予期しないファイルやシステムデータの内容を読み取ることが可能です。この脆弱性はQsync Central 5.0.0.4（2026年1月20日リリース）で修正されています。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,735件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。