脆弱性情報（JVN）検索・一覧

HummerRisk バージョン 1.5.0 までに脆弱性が発見されました。この問題は、コンポーネント「アーカイブ抽出」の hummer-common/hummer-common-core/src/main/java/com/hummer/common/core/utils/CommandUtils.java ファイル内の extractTarGZ および extractZip 関数に影響します。この脆弱性によりパストラバーサルが発生します。攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される可能性があります。ベンダーにはこの公開について早期に連絡しましたが、まったく回答がありませんでした。

SnapGear Management Console SG560 3.1.5には、認証済みユーザーがedit_config_files CGIスクリプトを使用してファイルの読み取り、書き込み、および削除を行うことができる脆弱性があります。攻撃者は/cgi-bin/cgix/edit_config_filesのPOSTリクエストパラメータを操作して、本来の/etc/config/ディレクトリ以外のファイルにアクセスし、修正することが可能です。

Wikimedia FoundationのMediaWikiのCSS拡張機能において、制限されたディレクトリへのパス名の不適切な制限（パストラバーサル）が存在する脆弱性により、パストラバーサルが可能となります。この問題は、MediaWikiのCSS拡張機能のバージョン1.44、1.43、および1.39に影響を及ぼします。

OpenList FrontendはOpenListのUIコンポーネントです。4.1.10以前のバージョンでは、server/handles/fsmanage.goの複数のファイル操作ハンドラーにパストラバーサルの脆弱性が存在していました。req.Names内のファイル名の要素がstdpath.Joinを使って検証済みのディレクトリと直接連結されます。これにより「..」のシーケンスがパス制限を回避でき、ユーザーは同じストレージマウント内の他のユーザーのファイルにアクセスし、不正に削除や名前変更、コピーなどの操作を行うことが可能になります。認証済み攻撃者はファイル名要素にトラバーサルシーケンスを注入し、ディレクトリレベルの認可を回避して、同じストレージマウント内でユーザーの境界を越えた不正なファイル削除およびコピーを実行できます。この脆弱性は4.1.10で修正されました。

SiYuanは個人用ナレッジマネジメントシステムです。バージョン3.5.5より前の/api/file/getFileエンドポイントでは、大文字小文字を区別する文字列の等価性チェックを使用して機密ファイルへのアクセスをブロックしていました。しかし、Windowsのような大文字小文字を区別しないファイルシステムでは、攻撃者が混在する大文字小文字のパスを使用して制限を回避し、保護された設定ファイルを読み取ることが可能でした。この脆弱性はバージョン3.5.5で修正されています。

InvoicePlaneは、請求書、クライアント、および支払いを管理するためのセルフホスト型オープンソースアプリケーションです。InvoicePlaneのバージョン1.6.3まで（含む）において、`Guest`モジュールの`Get`コントローラーの`get_file`メソッドにパストラバーサルの脆弱性が存在します。この脆弱性によって、認証されていない攻撃者が入力ファイル名を操作し、サーバー上の任意のファイルを読み取ることが可能となります。その結果、データベースの資格情報を含む設定ファイルなどの機密情報が漏洩するおそれがあります。バージョン1.6.4でこの問題は修正されています。

NiceGUIはPythonベースのUIフレームワークです。バージョン3.7.0以前のNiceGUIのFileUpload.nameプロパティは、クライアントから提供されたファイル名のメタデータをサニタイズせずに公開していました。そのため、開発者がUPLOAD_DIR / file.nameのパターンを使用する場合にパストラバーサルを可能にしていました。../シーケンスを含む悪意のあるファイル名は、攻撃者が意図したディレクトリ外にファイルを書き込むことを許し、脆弱なデプロイメントパターンにおけるアプリケーションファイルの上書きを通じてリモートコード実行の可能性を引き起こしました。この設計は一般的なコミュニティパターンに従うアプリケーションに広く影響を与えるセキュリティ上の落とし穴を生み出します。なお、悪用にはfile.nameをファイルシステムのパスにサニタイズせずに組み込むアプリケーションコードが必要です。固定パス、生成されたファイル名、または明示的なサニタイズを使用するアプリケーションは影響を受けません。この脆弱性はバージョン3.7.0で修正されました。

calibreは、電子書籍の閲覧、変換、編集、およびカタログ作成を行うクロスプラットフォームの電子書籍マネージャーです。バージョン9.2.1およびそれ以前には、ユーザーが書き込み権限を持つ任意の場所にファイルを書き込むことを可能にするパストラバーサルの脆弱性が含まれていました。Windows環境では、ペイロードをスタートアップフォルダに書き込むことでリモートコードが実行され、次回ログイン時に実行されます。関数extract_picturesはstartswith('Pictures')のみをチェックし、'..'のシーケンスを適切にサニタイズしていません。calibre自身のutils/zipfile.py内のZipFile.extractall()は_get_targetpath()を介して'..'をサニタイズしますが、extract_pictures()は手動でのzf.read()とopen()の使用によりこれを回避しています。この問題はバージョン9.3.0で修正されました。

calibreは、電子書籍の閲覧、変換、編集、およびカタログ作成のためのクロスプラットフォームの電子書籍管理ソフトウェアです。バージョン9.2.1およびそれ以前のバージョンには、PDBリーダー（132バイトおよび202バイトのヘッダーの両方のバリアント）を介したパストラバーサルの脆弱性があり、ユーザーが書き込み権限を持つ任意の場所に、任意の拡張子および任意の内容のファイルを任意に書き込むことが可能でした。ファイルは「wb」モードで書き込まれ、既存のファイルが静かに上書きされます。この脆弱性により、コード実行の可能性やファイル破損によるサービス拒否（DoS）が引き起こされることがありました。この問題はバージョン9.3.0で修正されました。

Crawl4AIのバージョン0.8.0未満には、Docker APIのデプロイメントにローカルファイルインクルージョンの脆弱性があります。/execute_js、/screenshot、/pdf、および/htmlエンドポイントはfile:// URLを受け入れるため、認証されていないリモート攻撃者がサーバのファイルシステムから任意のファイルを読み取ることが可能です。攻撃者は/etc/passwd、/etc/shadow、アプリケーションの設定ファイル、および/proc/self/environを介した環境変数などの機密ファイルにアクセスでき、これにより資格情報やAPIキー、内部アプリケーション構造が露出する可能性があります。

OpenClawはパーソナルAIアシスタントです。OpenClawバージョン2026.2.14以前では、Feishu拡張機能の`sendMediaFeishu`において、攻撃者が制御する`mediaUrl`の値をローカルファイルシステムのパスとして扱い、直接読み取れる問題がありました。攻撃者がツール呼び出し（直接的またはプロンプトインジェクション経由）に影響を与えられる場合、`mediaUrl`に`/etc/passwd`のようなパスを指定することで、ローカルファイルの情報を外部に漏洩させる可能性があります。修正を含むOpenClawバージョン2026.2.14以降にアップグレードしてください。この修正では、この経路からの直接的なローカルファイルの読み取りを削除し、メディア読み込みをローカルルート制限を強制する強化されたヘルパー経由でルーティングするようにしています。

node-tarはNode.js向けのフル機能を備えたTarです。バージョン7.5.7以下のデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが展開ディレクトリ内に展開ルート外のファイルを指すハードリンクを作成でき、展開ユーザーとして任意のファイルを読み書きできます。パス保護を回避し、アーカイブ展開を直接のファイルシステムアクセス手段に変えるため、本脆弱性の深刻度は高いと評価されています。この問題はバージョン7.5.8で修正されました。

Blossom 1.17.1までに脆弱性が発見されました。この問題はコンポーネントFile Uploadのファイルblossom-backend/common/common-iaas/src/main/java/com/blossom/common/iaas/blos/BLOSManager.javaの関数putに影響します。この操作によりパストラバーサルが発生します。攻撃はリモートで開始される可能性があります。エクスプロイトは公開されており、悪用される可能性があります。ベンダーには早期にこの公開について連絡しましたが、何の回答も得られませんでした。

Quick.Cartはテーマ選択機構においてローカルファイルインクルージョンおよびパストラバーサルの脆弱性を持っています。Quick.Cartは特権ユーザーに対してファイル名の拡張子のみを検証し、任意のファイル内容をアップロードすることを許可します。これにより攻撃者はアップロードされたPHPコードをインクルードおよび実行でき、サーバー上でリモートコードを実行することが可能になります。ベンダーにはこの脆弱性について早期に通知されましたが、詳細な脆弱性情報や影響を受けるバージョン範囲についての回答はありませんでした。バージョン6.7のみが検証され脆弱であることが確認されており、他のバージョンは未検証であるため脆弱である可能性もあります。

melangeは宣言型パイプラインを使用してapkパッケージを構築できるツールです。バージョン0.11.3から0.40.3未満のmelangeでは、QEMUゲストVMからのtarストリームに悪影響を与えられる攻撃者が、ホスト上の意図されたワークスペースディレクトリ外にファイルを書き込むことが可能でした。retrieveWorkspace関数は、パスがワークスペース内に留まっているかどうかを検証せずにtarエントリを抽出するため、../シーケンスを用いたパストラバーサル攻撃が成立しました。この問題はバージョン0.40.3で修正されました。

lakeFSは、オブジェクトストレージをGitのようなリポジトリに変換するオープンソースツールです。1.77.0以前のバージョンでは、ローカルブロックアダプター（pkg/block/local/adapter.go）が認証済みユーザーに対して、指定されたストレージ境界外のファイルを読み書きすることを許可していました。verifyRelPath関数はstrings.HasPrefix()を使用して、要求されたパスが設定されたストレージディレクトリ内にあることを検証していましたが、このチェックはパスのプレフィックスのみを検証し、パスセパレータを必要としなかったため、類似した名前の隣接ディレクトリへのアクセスを許してしまいました。また、アダプターは解決されたパスがアダプターのベースパス内にあることを検証していましたが、オブジェクト識別子が指定されたストレージネームスペース内にあるかどうかは検証していませんでした。これにより、攻撃者はオブジェクト識別子内にパストラバーサルシーケンスを使用して、他のネームスペースのファイルにアクセスすることが可能でした。この問題はバージョンv1.77.0で修正されました。

BACnetスタックは、組み込みシステム向けのBACnetオープンソースプロトコルスタックのCライブラリです。1.5.0.rc3以前のバージョンには、ユーザーが提供するファイルパスの検証を行わないファイル書き込み機能に脆弱性が存在しており、攻撃者が任意のディレクトリにファイルを書き込むことが可能でした。影響を受けるファイルはapps/readfile/main.cおよびports/posix/bacfile-posix.cです。この脆弱性は1.5.0.rc3で修正されています。

wlcはWeblateのREST APIを使用するWeblateのコマンドラインクライアントです。1.17.2より前のバージョンでは、多言語翻訳のダウンロード時に細工されたサーバーからの指示によって任意の場所に書き込むことが可能でした。この脆弱性は1.17.2で修正されました。

esm.shはウェブ開発向けのビルド不要コンテンツ配信ネットワーク（CDN）です。Goの擬似バージョン0.0.0-20260116051925-c62ab83c589eより前のバージョンには、不完全な修正によりパス・トラバーサルの脆弱性が存在していました。`path.Clean`はパスを正規化しますが、悪意のあるtarファイル内の絶対パスを防止しません。擬似バージョン0.0.0-20260116051925-c62ab83c589eに対応するコミット（https://github.com/esm-dev/esm.sh/commit/9d77b88c320733ff6689d938d85d246a3af9af16）にて、この問題は修正されています。