全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 パス・トラバーサル の検索結果：681–720 件目を表示（ページ 18）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
YouPHPTube 7.8以下には、認証されていない攻撃者がGETリクエストの'lang'パラメータを操作することで任意のファイルにアクセスできるローカルファイルインクルージョンの脆弱性があります。攻撃者はlocale/function.php内のパストラバーサルの欠陥を悪用し、ディレクトリトラバーサルシーケンスを用いて意図されたディレクトリの外にあるPHPファイルをインクルードして表示することが可能です。
CouchCMS 2.4には情報漏洩の脆弱性が存在し、管理者ユーザーがディレクトリを何度も遡って任意のファイルを読み取ることが可能です。これにより、適切に悪用されるとソースコードやその他の機密情報が漏洩する危険性があります。
InvoicePlaneのバージョン1.6.3にはディレクトリトラバーサルの脆弱性が存在し、認証されていない攻撃者がサーバー上のファイルを読み取ることが可能です。読み取ることができるファイルおよびそのファイルタイプは、ウェブサーバーとその設定によって異なります。
Docmostはオープンソースの共同編集Wikiおよびドキュメンテーションソフトウェアです。バージョン0.21.0から0.24.0未満までのDocmostには、Zipインポート機能（ZipSlip）を通じて任意のファイルを書き込める脆弱性が存在します。apps/server/src/integrations/import/utils/file.utils.tsにおいて、ファイル名の検証が行われていません。この脆弱性はバージョン0.24.0で修正されました。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
Oliver Library Server v5には、認証されていない攻撃者がFileServletエンドポイントの「fileName」パラメータの入力検証不足を悪用して、任意のシステムファイルにアクセスできるファイルダウンロードの脆弱性があります。この脆弱性を利用することで、攻撃者はサーバーのファイルシステム上にある機密ファイルをダウンロード可能です。
JoomSky JS Help Desk において、制限されたディレクトリへのパス名の不適切な制限（パストラバーサル）の脆弱性が存在し、これによりパストラバーサル攻撃が可能です。この問題は JS Help Desk のバージョン n/a から 2.9.2 までに影響を及ぼします。
JoomSky JS Help Desk における制限されたディレクトリへのパス名の不適切な制限（「パストラバーサル」）の脆弱性により、パストラバーサル攻撃が可能となります。この問題は JS Help Desk のバージョン n/a から 2.9.1 までに影響を及ぼします。
SteelSeries Nahimic 3 1.10.7にはディレクトリトラバーサルの脆弱性が存在します。
Omnispace Agora Projectのバージョン25.10以前に存在するディレクトリトラバーサルの脆弱性により、認証されていない攻撃者がmiscコントローラーおよびExternalGetFileアクションを介してシステム上のファイルを読み取ることが可能です。読み取れるファイルは拡張子を持つものに限られます。
Dell Integrated Dell Remote Access Controller 9の7.00.00.181より前の14Gバージョン、15Gおよび16Gバージョンの6.10.80.00から7.20.10.50まで、およびDell Integrated Dell Remote Access Controller 10の1.20.25.00より前の17Gバージョンには、不適切な制限によるパス名の制限（「パストラバーサル」の脆弱性）が含まれています。リモートアクセス権限を持つ高権限の攻撃者がこの脆弱性を悪用すると、不正アクセスが可能になる恐れがあります。
SpinetiX Fusion Digital Signage 3.4.8およびそれ以前のバージョンには、認証済みのパストラバーサル脆弱性が存在します。この脆弱性により、攻撃者は検証されていない入力パラメータを通じてファイルのバックアップおよび削除操作を不正に操作できます。攻撃者はindex.phpにおけるパストラバーサル手法を悪用して、バックアップファイルを任意の場所に書き込み、バックアップおよびファイル削除リクエストを操作してファイルを削除することが可能です。
HP System Event UtilityおよびOmen Gaming Hubは、制限されたパス外の特定のファイルを実行できる可能性があります。この潜在的な脆弱性は、HP System Event Utilityバージョン3.2.12およびOmen Gaming Hubバージョン1101.2511.101.0で修正されました。
GuardDogは悪意のあるPyPIパッケージを識別するためのCLIツールです。バージョン2.7.1以前のGuardDogには、safe_extract()関数にパストラバーサルの脆弱性が存在していました。これにより、悪意のあるPyPIパッケージが意図された抽出ディレクトリ外に任意のファイルを書き込むことが可能であり、GuardDogを実行しているシステムで任意ファイルの上書きやリモートコード実行が引き起こされる恐れがあります。この脆弱性はバージョン2.7.1で修正されました。
SAP Business Connectorにおけるパストラバーサル脆弱性により、隣接アクセス権を持つ管理者として認証された攻撃者がホストシステム上の任意のファイルを読み取り、書き込み、上書き、および削除できます。この脆弱性が悪用されると、攻撃者はサーバー上で任意のオペレーティングシステムコマンドを実行可能となり、影響を受けるシステムの機密性、完全性、および可用性が完全に侵害される恐れがあります。
RustFSはRustで構築された分散オブジェクトストレージシステムです。バージョン1.0.0-alpha.13から1.0.0-alpha.78までのRustFSには、/rustfs/rpc/read_file_streamエンドポイントにパストラバーサルの脆弱性が存在していました。この問題はバージョン1.0.0-alpha.79で修正されました。
Seeyon Zhiyuan OA Web Application System 8.1 SP2に脆弱性が発見されました。この問題は重要と分類されています。影響を受けるのはコンポーネントであるZIPファイルハンドラーのファイルseeyon\opt\Seeyon\A8\ApacheJetspeed\webapps\seeyon\WEB-INF\lib\seeyon-apps-m3.jar!\com\seeyon\apps\m3\core\controller\M3CoreController.classのDownload関数です。引数Nameの操作によりパストラバーサルが発生します。この攻撃はリモートで実行可能です。脆弱性の詳細は公開されており、悪用される可能性があります。
esm.shはモダンなWeb開発向けのノービルドコンテンツデリバリーネットワーク（CDN）です。バージョン136以前のesm.sh CDNサービスには、NPMパッケージのtarball展開時にパス・トラバーサルの脆弱性が存在していました。攻撃者は、特別に細工されたファイルパス（例：package/../../tmp/evil.js）を含む悪意のあるNPMパッケージを作成することができます。esm.shがこのパッケージをダウンロードして展開すると、ファイルは意図された展開ディレクトリを逸脱し、サーバー上の任意の場所に書き込まれてしまう可能性があります。この問題はバージョン136で修正されました。
v0.4.1より前のnixseparatedebuginfodにはディレクトリトラバーサルの脆弱性があります。
Zyxel NWA50AX PROファームウェアバージョン7.10(ACGE.2)およびそれ以前のfile_upload-cgi CGIプログラムにはパストラバーサルの脆弱性があります。この脆弱性により、管理者権限を持つ認証済みの攻撃者が特定のディレクトリにアクセスでき、影響を受けるデバイス上の設定ファイルなどを削除する可能性があります。
Vivotek IP7137カメラのファームウェアバージョン0200aにはパストラバーサルの脆弱性があります。認証済みの攻撃者は直接HTTPリクエストを使用して、ウェブルートディレクトリを超えるリソースにアクセスできます。管理パネルのパスワードはデフォルトで設定されていません。ベンダーは回答をしておらず、おそらくすべてのファームウェアバージョンが影響を受けています。製品はすでにEOL段階にあるため、修正がリリースされる見込みはありません。
AIOHTTPは、asyncioおよびPython向けの非同期HTTPクライアント/サーバーフレームワークです。バージョン3.13.2およびそれ以前のバージョンでは、パスの正規化ロジックを介して攻撃者が絶対パスの構成要素の存在を特定できる可能性がありました。このロジックはパストラバーサルを防ぐために設計されています。アプリケーションがweb.static()を使用している場合（本番環境への展開は推奨されません）、攻撃者がパス構成要素の存在を特定できる可能性があります。この問題はバージョン3.13.3で修正されました。
Broadcom DX NetOps Spectrum の Windows および Linux において、制限されたディレクトリへのパス名の不適切な制限（パストラバーサル）に関する脆弱性が存在します。この問題は DX NetOps Spectrum バージョン 24.3.8 およびそれ以前のバージョンに影響します。
Fortinet FortiVoice 7.2.0から7.2.2、FortiVoice 7.0.0から7.0.7における不適切なパス名の制限（制限されたディレクトリへのパス・トラバーサル）に関する脆弱性により、権限を持つ攻撃者が細工されたHTTPまたはHTTPSリクエストを介して基盤となるファイルシステムのファイルを削除できる可能性があります。
NagiosXI 2026R1.0.1 ビルド1762361101には、/admin/coreconfigsnapshots.phpにおいてディレクトリトラバーサルの脆弱性が存在します。
SOUND4 IMPACT/FIRST/PULSE/Eco バージョン 2.x 以下には、認証なしでファイル情報が漏洩する脆弱性が存在し、リモートの攻撃者が機密システムファイルにアクセスできる可能性があります。攻撃者は 'file' の GET パラメータを操作することで、影響を受けるデバイス上の任意のファイルを開示することが可能です。
SOUND4 IMPACT/FIRST/PULSE/Eco <=2.xには、ファームウェアアップロード機能にパストラバーサルの脆弱性があり、認証されていないリモートコード実行が可能です。攻撃者はupload.cgiスクリプトを悪用して、システムにwww-data権限で悪意のあるファイルを書き込み、不正なアクセスとコード実行を引き起こします。
SOUND4 IMPACT/FIRST/PULSE/Eco v2.xには認証されていないディレクトリトラバーサルの脆弱性が存在し、リモートの攻撃者がupload.cgiの'upgfile'パラメータを介して任意のファイルを書き込むことができます。攻撃者は、ディレクトリトラバーサルのシーケンスを含む細工されたマルチパートフォームデータのPOSTリクエストを送信することで、この脆弱性を悪用し、意図しないシステム上の場所にファイルを書き込めます。
GogsのPutContents APIにおける不適切なシンボリックリンク処理が原因で、ローカルでコードを実行可能となる脆弱性です。
e107 CMS バージョン 2.3.3 までに脆弱性が検出されました。この脆弱性は、コンポーネント Avatar Handler のファイル /e107_admin/image.php?mode=main&action=avatar の特定の関数に影響します。引数 multiaction[] の操作によりパストラバーサルが発生します。この攻撃はリモートから実行可能です。エクスプロイトは既に公開されており、悪用される可能性があります。ベンダーにはこの問題の公開について早期に連絡しましたが、対応はありませんでした。
Edimax BR-6208AC 1.02に脆弱性が検出されました。この脆弱性はFTPデーモンサービスのhandle_retr関数に影響を及ぼします。この問題によりパストラバーサルが発生します。攻撃はリモートから実行される可能性があります。現在、この脆弱性のエクスプロイトが公開されており、悪用される恐れがあります。Edimaxは本件について以下の通り確認しています。「この製品は市場での販売が終了しており、5年前に生産が中止されています。そのため、Edimaxはこのモデルに対する技術サポート、ファームウェアの更新、およびセキュリティパッチの提供を行っておりません。しかし、現存するユーザーの安全を確保するため、本報告を認識し次の対応を取ります：(A) サポートウェブサイトで公式のセキュリティアドバイザリを発行します。(B) 影響を軽減するため、このデバイスのFTPサービスを無効にすることを強く推奨します。その場合、製品は一般的な使用に引き続き対応可能です。(C) より新しいサポート対象モデルへのアップグレードを推奨します。」この脆弱性はすでにメンテナンスが終了した製品のみに影響を及ぼします。
yeqifu carRental のバージョン 3fabb7eae93d209426638863980301d6f99866b3 までに脆弱性が発見されました。この脆弱性は、コンポーネント com.yeqifu.sys.controller.FileController のファイル /file/downloadShowFile.action 内の downloadShowFile 関数に影響を及ぼします。引数 path の操作によりパストラバーサルが発生します。攻撃はリモートから開始される可能性があります。この脆弱性のエクスプロイトが公開されており、悪用されるおそれがあります。本製品はローリングリリースモデルを採用して継続的に更新を提供しているため、影響を受ける特定のバージョン情報や更新リリースの情報は入手できません。プロジェクト側には早期に問題が報告されましたが、現時点で対応されていません。
LogicalDOC Enterprise 7.7.4 には、認証後に複数のファイル情報が漏れる脆弱性が存在します。この脆弱性により、攻撃者は未検証の'suffix'や'fileVersion'パラメータを利用して、任意のファイルを読み取ることができます。さらに、攻撃者は/thumbnailおよび/convertpdfエンドポイントでディレクトリトラバーサル技術を悪用し、パストラバーサルシーケンスを操作することで、win.iniや/etc/passwdなどの機密性の高いシステムファイルにアクセスすることが可能です。
Frappeはフルスタックのウェブアプリケーションフレームワークです。バージョン14.99.5以下および15.0.0から15.80.1には、パストラバーサル攻撃に対して脆弱なリクエストが含まれています。いくつかのリクエストで適切なサニタイズ処理が行われていないため、攻撃者によってサーバー上の任意のファイルが取得される可能性があります。この問題はバージョン14.99.6および15.88.1で修正されました。回避策として、リバースプロキシを使用するようにセットアップを変更することが推奨されています。
baowzh hfly の 638ff9abe9078bc977c132b37acbe1900b63491c 以前のバージョンには脆弱性が存在します。影響を受けるのは /admin/index.php/datafile/delfile 内の未知の機能です。引数 filename の操作によってパストラバーサルが発生する可能性があります。リモートから攻撃することが可能です。攻撃手法が公開されており、悪用されるおそれがあります。この製品は継続的デリバリーのため、ローリングリリース戦略を採用しています。ベンダーには開示初期に連絡しましたが、いかなる対応も行われませんでした。
baowzh hflyの638ff9abe9078bc977c132b37acbe1900b63491cまでのバージョンにおいて、セキュリティ脆弱性が検出されました。影響を受ける要素は、/admin/index.php/datafile/downloadファイル内の不明な関数です。filename引数の操作によってパストラバーサルが発生します。攻撃はリモートから実行可能です。エクスプロイトは公に開示されており、悪用される恐れがあります。本製品は継続的デリバリーを採用するローリングリリースシステムを利用しています。そのため、影響を受けたバージョンや更新済みバージョンの情報は公開されていません。ベンダーへは早期に通知しましたが、いかなる対応も行われていませんでした。
NGINX Ingress Controllerのnginx.org/rewrite-targetアノテーションのバリデーションに脆弱性が存在しています。なお、技術サポートが終了したソフトウェアバージョン（EoTS）は評価の対象外となります。
frdel Agent-Zero 0.8.1.2 に、クリティカルと分類される脆弱性が発見されました。この脆弱性は /get_work_dir_files ファイル内の不明なコードに影響します。path 引数の操作によってパストラバーサルが発生します。攻撃はリモートで開始可能です。エクスプロイトが公開されているため、悪用される恐れがあります。
Agent-Zero v0.8.* の /api/download_work_dir_file.py コンポーネントには、攻撃者がディレクトリトラバーサルを実行できる脆弱性が存在します。
frdel Agent-Zeroのバージョン0.8.4までに脆弱性が発見されました。この脆弱性は重要な問題であると評価されています。影響を受けるのは、/python/api/image_get.pyファイル内のimage_get関数です。引数pathの操作によってパストラバーサルが発生する可能性があります。バージョン0.8.4.1へアップグレードすることでこの問題は解決されます。パッチの識別子は5db74202d632306a883ccce7339c5bdba0d16c5aです。影響を受けるコンポーネントをアップグレードすることが推奨されます。
PDFPatcherの実行ファイルは、ユーザーが指定したファイルパスを検証しないため、ディレクトリトラバーサル攻撃が可能となり、攻撃者が任意のファイルを任意の場所にアップロードできてしまいます。