脆弱性情報（JVN）検索・一覧

goshsはGoで書かれたSimpleHTTPServerです。2.0.0-beta.3より前のバージョンでは、POSTのマルチパートアップロードのディレクトリが適切にサニタイズされていませんでした。この脆弱性は2.0.0-beta.3で修正されています。

goshsはGoで書かれたSimpleHTTPServerです。2.0.0-beta.3より前のバージョンでは、tdeleteFile()関数においてパストラバーサルチェック後の戻り処理が欠落していました。この脆弱性は2.0.0-beta.3で修正されました。

Zora: Post, Trade, Earn Crypto v2.60.0には任意のファイル上書きの脆弱性があり、攻撃者はファイルインポートプロセスを介して重要な内部ファイルを上書きできます。その結果、任意のコードを実行したり情報が漏洩したりする可能性があります。

FLY is FUN Aviation Navigation v35.33には任意ファイル上書きの脆弱性が存在し、攻撃者はファイルインポートプロセスを介して重要な内部ファイルを上書きすることができ、任意のコードを実行したり情報漏えいを引き起こしたりする可能性があります。

PEAKSEL D.O.O. の NIS Animal Sounds and Ringtones v1.3.0 における任意のファイル上書き脆弱性により、攻撃者がファイルインポートプロセスを介して重要な内部ファイルを上書きでき、これにより任意のコードを実行したり情報漏洩が発生したりする可能性があります。

DELMIA Factory Resource ManagerのFactory Resource Managementに影響を及ぼすパストラバーサルの脆弱性は、3DEXPERIENCE R2023xから3DEXPERIENCE R2025xのリリースまで存在しており、攻撃者がサーバー上の特定のディレクトリ内のファイルを読み取ったり書き込んだり可能です。

nanotar 0.2.0までのバージョンには、parseTar()およびparseTarGzip()にパス・トラバーサルの脆弱性が存在します。この脆弱性により、細工されたパス・トラバーサルシーケンスを含むtarアーカイブを介して、リモートの攻撃者が意図した展開ディレクトリの外部に任意のファイルを書き込むことが可能になります。

Funambol, Inc. の Zefiro Cloud v32.0.2026011614には、任意のファイル上書きの脆弱性が存在します。この脆弱性により、攻撃者はファイルインポートプロセスを介して重要な内部ファイルを上書きでき、その結果、任意のコードを実行したり情報漏洩を引き起こしたりする可能性があります。

Fireshareはセルフホスト型のメディアおよびリンク共有を支援するサービスです。バージョン1.5.3以前では、認証済みの/api/uploadChunkedエンドポイントに適用された修正が、認証不要の/api/uploadChunked/publicエンドポイントには適用されていませんでした。認証されていない攻撃者はcheckSumパラメータを悪用して、制御可能な内容をサーバファイルシステム上の任意の書き込み可能なパスに書き込むことが可能でした。この問題はバージョン1.5.3で修正されています。

BuildKitは、ソースコードを効率的かつ表現力豊かで再現可能な方法でビルド成果物に変換するためのツールキットです。バージョン0.28.1以前では、カスタムBuildKitフロントエンドを使用する場合に、フロントエンドが実行コンテキストのBuildKit状態ディレクトリ外にファイルを書き込むAPIメッセージを作成できる可能性がありました。この問題はv0.28.1で修正されました。この脆弱性は、`#syntax`または`--build-arg BUILDKIT_SYNTAX`で設定された信頼されていないBuildKitフロントエンドを使用した場合に発生します。`docker/dockerfile`のようなよく知られたフロントエンドイメージを使用した場合には影響がありません。

Incusはシステムコンテナおよび仮想マシンのマネージャーです。Incusインスタンスはゲスト内のsystemdに資格情報を提供するオプションを持っています。コンテナの場合、これは共有ディレクトリを通じて処理されます。バージョン6.23.0以前では、攻撃者が`systemd.credential.../../../../../../root/.bashrc`のような名前の設定キーを設定することで、Incusがコンテナに関連付けられた`credentials`ディレクトリの外に書き込みを行うことが可能でした。これは、Incusの資格情報の構文が`systemd.credential.XYZ`であり、`XYZ`にさらに複数のピリオドを含めることができるという事実を利用したものです。この方法ではデータを読み取ることはできませんが、root権限で任意のファイルへの書き込みが可能となり、特権昇格やサービス拒否攻撃を引き起こす恐れがあります。バージョン6.23.0でこの問題は修正されました。

SaloonはユーザーにAPI統合やSDK構築のためのツールを提供するPHPライブラリです。バージョン4.0.0以前では、フィクスチャ名を検証せずに、設定されたフィクスチャディレクトリの下のファイルパスの構築に使用していました。パス区切り（例：../traversalや../../etc/passwd）を含む名前は、そのディレクトリ外のパスを引き起こしました。アプリケーションがフィクスチャ（例：モック用の読み込みやレスポンス記録時の書き込み）を操作する際、プロセスはアクセス可能な任意の場所のファイルを読み書きできる可能性がありました。フィクスチャ名がユーザーや攻撃者が制御する入力（例：リクエストパラメータや設定）から派生した場合、これはパストラバーサルの脆弱性となり、機密ファイルの情報漏えいや重要ファイルの上書きを招く恐れがありました。バージョン4.0.0の修正では、フィクスチャ層で検証を追加し（/、\、..、ヌルバイトを含む名前を拒否し、安全な文字セットに制限し）、ストレージ層で多層防御を行い（読み書き前に解決済みパスがベースディレクトリ内にあることを保証しています）。

パス処理の問題は、検証を改善することで対処されました。この問題はiOS 16.4およびiPadOS 16.4、macOS Sequoia 15.7.5、macOS Sonoma 14.8.5、macOS Tahoe 16.4、visionOS 16.4で修正されています。アプリケーションがサンドボックスから抜け出す可能性がありました。

ディレクトリパスの処理における解析の問題は、改善されたパス検証によって対処されました。この問題は macOS Sequoia 15.7.5、macOS Sonoma 14.8.5、および macOS Tahoe 26.4 で修正されています。アプリケーションがサンドボックスから抜け出す可能性があります。

Tekton Pipelinesプロジェクトは、CI/CDスタイルのパイプラインを宣言するためのk8sスタイルのリソースを提供しています。バージョン1.0.0以前の1.0.1、1.3.3、1.6.1、1.9.2、および1.10.2より前のバージョンにおいて、Tekton Pipelinesのgitリゾルバは`pathInRepo`パラメータを通じたパストラバーサルの脆弱性が存在します。`ResolutionRequests`を作成する権限を持つテナント（例：gitリゾルバを使う`TaskRuns`や`PipelineRuns`を作成する者）は、リゾルバポッドのファイルシステムから任意のファイルを読み取ることができ、ServiceAccountのトークンも取得できます。ファイルの内容は`resolutionrequest.status.data`にBase64エンコードされた状態で返されます。バージョン1.0.1、1.3.3、1.6.1、1.9.2、および1.10.2には、この脆弱性を修正するパッチが含まれています。

ApostropheCMSはオープンソースのコンテンツ管理フレームワークです。`@apostrophecms/import-export`のバージョン3.5.3より前では、`gzip.js`の`extract()`関数が`fs.createWriteStream(path.join(exportPath, header.name))`を用いてファイル書き込みパスを構築していました。`path.join()`は`../`のようなディレクトリトラバーサルのセグメントを解決またはサニタイズせず、そのまま連結します。そのため、名前が`../../evil.js`のtarエントリは意図した抽出ディレクトリの外部のパスに解決されます。書き込みストリームを開く前に正規パスのチェックは行われていません。この問題は典型的なZip Slipの脆弱性です。グローバルコンテンツ修正権限を付与されたユーザー（通常はコンテンツ編集者やサイトマネージャーに割り当てられる役割）は、標準のCMSインポートUIを通じて細工された`.tar.gz`ファイルをアップロードし、攻撃者が制御するコンテンツをNode.jsプロセスが到達可能な任意のホストファイルシステム上のパスに書き込むことが可能です。`@apostrophecms/import-export`のバージョン3.5.3でこの問題は修正されました。

Mesopは、ユーザーがウェブアプリケーションを構築できるPythonベースのUIフレームワークです。バージョン1.2.2以下には、UIストリームペイロードを通じて信頼されていないstate_tokenを提供する任意のユーザーが、標準のファイルベースのランタイムバックエンド環境下でディスク上のファイルを任意に指定できるパストラバーサルの脆弱性が存在します。これにより、設定として非msgpackのターゲットファイルを読み込む際にクラッシュループが発生し、アプリケーションがサービス拒否状態になる可能性や、任意のファイル操作が行われる可能性があります。この脆弱性は、FileStateSessionBackendを利用してホストされているシステムに大きな影響を与えます。不正な悪意ある攻撃者は、アプリケーションの範囲外で基盤となるサービスリソースをネイティブに上書きまたは明示的に削除する任意のペイロードを操作することが可能です。この問題はバージョン1.2.3で修正されました。

Active StorageはRailsアプリケーションでクラウドやローカルファイルの添付を可能にします。バージョン8.1.2.1、8.0.4.1、および7.2.3.1より前のバージョンでは、Active Storageの`DiskService#path_for`メソッドが解決したファイルシステムパスがストレージルートディレクトリ内に収まっているかどうかを検証しません。パス・トラバーサルシーケンス（例：`../`）を含むブロブキーが使用された場合、サーバ上の任意のファイルを読み取り、書き込み、または削除できる可能性があります。ブロブキーは信頼された文字列であると想定されていますが、一部のアプリケーションではユーザー入力をキーとして渡している可能性があり、影響を受けることがあります。バージョン8.1.2.1、8.0.4.1、および7.2.3.1にはこの問題を修正するパッチが含まれています。

MLflowのpyfunc抽出プロセスにおける脆弱性により、tarアーカイブエントリが不適切に処理され、任意のファイル書き込みが可能になる問題です。具体的には、パス検証を行わずに`tarfile.extractall`を使用しているため、`..`や絶対パスを含む巧妙に作成されたtar.gzファイルが意図した抽出ディレクトリを脱出できます。この問題は最新バージョンのMLflowに影響し、マルチテナント環境や信頼できないアーティファクトの取り込みを伴うシナリオにおいて高リスクまたは重大なリスクをもたらします。これにより、任意のファイルの上書きや潜在的なリモートコード実行が発生する恐れがあります。

OpenClawの2026年2月19日以前のバージョンには、extensions/feishu/src/media.ts内のFeishuメディアダウンロードフローにおいて、信頼されていないメディアキーが一時ファイルパスに直接埋め込まれるパス・トラバーサルの脆弱性があります。攻撃者はクライアントに返されるFeishuメディアキーの値を操作でき、トラバーサルセグメントを利用してos.tmpdir()から抜け出し、OpenClawプロセスの権限で任意のファイルを書き込むことが可能です。

SiYuanはパーソナルナレッジマネジメントシステムです。バージョン3.5.10より前のものには、/exportエンドポイントにパストラバーサルの脆弱性が存在し、攻撃者がサーバーファイルシステム上の任意のファイルを読み取ることができます。二重エンコードされたトラバーサルシーケンスを悪用することで、攻撃者はconf/conf.jsonなどの機密ファイルにアクセスでき、そこにはAPIトークン、クッキー署名キー、ワークスペースアクセス認証コードなどの秘密情報が含まれています。これらの秘密情報が漏洩することで、SiYuanカーネルAPIへの管理者アクセスを得ることができ、特定の展開シナリオではリモートコード実行（RCE）につなげる可能性があります。この脆弱性はバージョン3.5.10で修正されました。

DevToysは開発者向けのデスクトップアプリケーションです。バージョン2.0.0.0から2.0.9.0未満の間に、DevToysの拡張機能インストール機構にパストラバーサルの脆弱性が存在していました。拡張機能パッケージ（NUPKGアーカイブ）を処理する際、DevToysはアーカイブ内のファイルパスを十分に検証していませんでした。悪意のある拡張機能パッケージは、../../…/target-fileのような細工されたファイルエントリを含めることができ、それにより展開処理が拡張機能用ディレクトリの外部にファイルを書き込んでしまいます。この欠陥により、攻撃者はDevToysプロセスの権限で任意のファイルを上書きすることが可能でした。環境によっては、これによってコードの実行や設定の改ざん、アプリケーションやシステムファイルの破損が発生する可能性があります。この問題はバージョン2.0.9.0で修正されています。

OpenChatBIは、大規模言語モデルによって構築されたインテリジェントなチャットベースのBIツールであり、ユーザーが自然言語の会話を通じてデータを照会、分析、可視化できるよう支援します。バージョン0.2.2以前のopenchatbi/tool/save_report.py内のsave_reportツールには、file_formatパラメーターの入力検証が不十分であったため、重大なパストラバーサルの脆弱性が存在していました。この問題はバージョン0.2.2で修正されました。

OpenClaw バージョン 2.0.0-beta3 から 2026年2月14日未満のバージョンには、フック変換モジュールの読み込みにパストラバーサルの脆弱性が存在し、任意の JavaScript が実行される可能性があります。hooks.mappings[].transform.module パラメータは絶対パスおよびトラバーサルシーケンスを受け入れるため、設定の書き込み権限を持つ攻撃者がゲートウェイプロセスの権限で悪意のあるモジュールを読み込み、実行できる状態です。

changedetection.ioは無料のオープンソースのウェブページ変更検知ツールです。バージョン0.54.4以前には、バックアップ復元機能にZip Slipの脆弱性が存在し、アップロードされたZIPアーカイブ内のパストラバーサルにより任意のファイルを上書きできました。この問題はバージョン0.54.4で修正されました。

DoraCMS 3.0.x にセキュリティ上の脆弱性が発見されました。影響を受ける箇所は /DoraCMS/server/app/router/api/v1.js ファイル内の createFileBypath 関数です。この脆弱性を悪用するとパストラバーサル攻撃が発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に使用される可能性があります。ベンダーには早期にこの情報が連絡されましたが、対応はされませんでした。

OpenClawの2026年2月14日以前のバージョンは、抽出中にTARアーカイブのエントリパスを検証しないため、パストラバーサルシーケンスを利用して意図しないディレクトリ外にファイルを書き込むことが可能です。攻撃者は../../のようなトラバーサルシーケンスを含む悪意のあるアーカイブを作成し、抽出の境界外にファイルを書き込めます。その結果、設定が改ざんされたりコードが実行されたりする可能性があります。

OpenClawの2026年2月13日以前のバージョンには、ブラウザ制御APIに脆弱性があります。この脆弱性により、トレースおよびダウンロードファイルのユーザー指定の出力パスが一貫して一時ディレクトリ内に制限されずに受け入れられてしまいます。APIアクセス権を持つ攻撃者は、POST /trace/stop、POST /wait/download、およびPOST /downloadエンドポイントでのパストラバーサルを悪用して、本来の一時ルート外にファイルを書き込むことが可能です。

GNU Wget2はMetalinkドキュメントを処理する際にセキュリティ上の問題が発見されました。アプリケーションはMetalinkのfile name要素で提供されるファイルパスを適切に検証しません。この挙動を悪用することで、攻撃者はシステムの意図しない場所にファイルを書き込むことが可能です。これによりデータ損失が発生し、ユーザー環境がさらに侵害される恐れがあります。

D-Link DIR-513 バージョン 1.10 には重大な脆弱性が含まれています。/goform/formLogin に関連する検証コードの POST リクエストを処理する際、/goform/getAuthCode に入りますが、FILECODE パラメータの値を適切にフィルタリングしないため、パストラバーサルの脆弱性が発生します。

cld378632668 JavaMall のバージョン 994f1e2b019378ec9444cdf3fce2d5b5f72d28f0 までに脆弱性が確認されました。影響を受けるのは src/main/java/com/macro/mall/controller/MinioController.java の delete 関数です。この関数の引数 objectName の操作によりパストラバーサルが発生します。この攻撃はリモートから実行可能です。本製品はローリングリリースによる継続的デリバリーを採用しているため、影響を受けるバージョンや更新リリースの詳細情報はありません。ベンダーには早期に本公開について連絡しましたが、応答はありませんでした。

OpenEMRは無料でオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン7.0.4およびそれ以前のEtherFaxActions.phpのdisposeDocument()メソッドには、認証されたユーザーがサーバーのファイルシステム上の任意の場所に任意の内容を書き込むことを許可する脆弱性があります。この脆弱性は、悪意のあるPHPウェブシェルをアップロードしてリモートコード実行（RCE）を達成するために悪用される可能性があります。

bolo-blogおよびbolo-soloのバージョン2.6.4までに脆弱性が発見されました。この脆弱性は、コンポーネントFilename Handlerのファイルsrc/main/java/org/b3log/solo/bolo/prop/BackupService.java内の関数importFromCnblogsに影響を与えます。引数Fileの操作によりパストラバーサルが発生します。この攻撃はリモートから実行可能です。エクスプロイトは公開されており、悪用される可能性があります。プロジェクトは問題を早期にイシュー報告を通じて通知しましたが、まだ対応していません。

Xerox FreeFlow Coreのパス名が制限されたディレクトリに不適切に限定される（パストラバーサル）脆弱性により、許可されていないパスの横断が可能となり、リモートコード実行（RCE）につながる可能性があります。この問題はXerox FreeFlow Coreのバージョン8.0.7までに影響を及ぼします。FreeFlow Coreバージョン8.1.0へのアップグレードを以下のソフトウェアダウンロードページ（https://www.support.xerox.com/en-us/product/core/downloads）からご検討ください。

HUSTOFは、ACM/ICPCおよびNOIPのトレーニング向けにPHP/C++/MySQL/Linuxをベースとしたオープンソースのオンラインジャッジです。バージョン26.01.24以前では、problem_import_qduoj.phpおよびproblem_import_hoj.phpモジュールがアップロードされたZIPアーカイブ内のファイル名を適切にサニタイズできていませんでした。攻撃者はパス・トラバーサルシーケンス（例：../../shell.php）を含む悪意のあるZIPファイルを作成でき、そのZIPファイルをサーバーが展開する際に、ウェブルートの任意の場所にファイルを書き込むことが可能でした。これによりリモートコード実行（RCE）が発生するおそれがありました。バージョン26.01.24ではこの問題に対する修正が含まれています。

Sanluan PublicCMS 6.202506.dに脆弱性が特定されました。この脆弱性はコンポーネントTemplate Cache GenerationのファイルTemplateCacheComponent.javaのsaveMetadata関数に影響します。操作を実行するとパストラバーサルが発生する可能性があります。この攻撃はリモートで実行可能です。攻撃コードは公開されており、攻撃に利用される恐れがあります。ベンダーにはこの公開について早期に連絡しましたが、何の返答もありません。

Node.js用のFTPクライアントライブラリである`basic-ftp`のバージョン5.2.0より前の`downloadToDir()`メソッドには、パストラバーサルの脆弱性（CWE-22）が存在します。悪意のあるFTPサーバーは、パストラバーサルシーケンス（`../`）を含むファイル名を持つディレクトリ一覧を送信し、意図したダウンロードディレクトリの外側にファイルを書き込ませることが可能です。この問題はバージョン5.2.0で修正されました。

Flask-ReuploadedはFlask向けのファイルアップロード機能を提供するライブラリです。バージョン1.5.0より前のバージョンには、クリティカルなパストラバーサルおよび拡張子回避の脆弱性が存在し、リモート攻撃者がサーバーサイドテンプレートインジェクション（SSTI）を通じて任意のファイル書き込みやリモートコード実行を行うことが可能でした。Flask-Reuploadedはバージョン1.5.0でこれらの脆弱性を修正しました。一部の回避策も利用可能です。具体的には、ユーザー入力を`name`パラメータに渡さず、自動生成されたファイル名のみを使用し、`name`を使用する場合は厳格な入力検証を実装することを推奨します。

RollupはJavaScript用のモジュールバンドラーです。Rollupモジュールバンドラーのバージョン2.80.0以前、3.30.0以前、および4.59.0以前（特にv4.xで現在のソースコードに存在）は、パストラバーサルによる任意ファイル書き込みの脆弱性を含んでいます。コアエンジンでファイル名のサニタイズが不十分であったため、攻撃者は出力ファイル名を制御（CLIの名前付き入力、マニュアルチャンクの別名、または悪意のあるプラグイン経由など）し、トラバーサルシーケンス（`../`）を使用して、ビルドプロセスがアクセス権を持つホストファイルシステム上の任意のファイルを上書きできます。これによって重要なシステムまたはユーザー設定ファイルを上書きし、永続的なリモートコード実行（RCE）を引き起こす可能性があります。この問題はバージョン2.80.0、3.30.0、および4.59.0で修正されています。

Dromara UJCMS 101.2に脆弱性が発見されました。この問題はコンポーネントTemplate HandlerのファイルWebFileTemplateController.delete内のdeleteDirectory関数に影響を及ぼします。この操作によりパストラバーサルが引き起こされます。この攻撃はリモートから実行される可能性があります。エクスプロイトは公開されており、悪用される可能性があります。ベンダーにはこの公開について早期に連絡しましたが、何の返答も得られていません。