脆弱性情報（JVN）検索・一覧

calibreは、電子書籍の閲覧、変換、編集、およびカタログ作成のためのクロスプラットフォームの電子書籍管理ソフトウェアです。バージョン9.5.0以前では、RocketBook（.rb）入力プラグインにパストラバーサルの脆弱性が存在しており、細工されたファイルを開くと、攻撃者が書き込み可能な任意のパスにファイルを書き込むことができました。この脆弱性は同種のバグとして過去に修正されましたが、RBリーダーには修正が適用されていませんでした。この問題はバージョン9.5.0で修正されています。

Daguは組み込みのWebユーザーインターフェースを備えたワークフローエンジンです。バージョン2.2.4以前では、インラインDAG実行エンドポイントで受け付けるdagRunIdリクエストフィールドがフォーマット検証なしにfilepath.Joinに直接渡され、一時ディレクトリのパスを構築していました。Goのfilepath.Joinは".."セグメントを単純に解決するため、呼び出し元が".."のような値を指定すると、計算されたディレクトリが意図された/tmp/name/idパスの外にリダイレクトされます。HTTPハンドラーが終了する際にos.RemoveAllを呼び出す遅延クリーンアップ関数が無条件に実行され、その結果、トラバーサルが解決したディレクトリが削除されます。dagRunIdを".."に設定すると、解決されたディレクトリはシステムの一時ディレクトリ（Linuxの場合は/tmp）になります。非rootでのデプロイメントでは、os.RemoveAll("/tmp")はdaguプロセスユーザーが所有する/tmp内のすべてのファイルを削除し、ライブな一時ファイルを持つすべての並行したdagu実行を妨害します。rootまたはDockerでのデプロイメントでは、この呼び出しが/tmpの全内容を削除し、システム全体のサービス拒否を引き起こします。この脆弱性はバージョン2.2.4で修正されています。

Blackは妥協しないPythonコードフォーマッターです。バージョン26.3.1以前のBlackは、様々なフォーマットオプションから計算された名前のキャッシュファイルを書き込みます。--python-cell-magicsオプションの値がサニタイズされることなくファイル名に含まれていたため、この引数の値を制御できる攻撃者は任意のファイルシステムの場所にキャッシュファイルを書き込むことが可能でした。この問題はBlack 26.3.1で修正されました。

Easyndexer 1.0には任意のファイルをダウンロードされる脆弱性があり、認証されていない攻撃者がfileパラメータを操作することで機密ファイルをダウンロードできます。攻撃者はfileパラメータに任意のファイルパスを指定してPOSTリクエストをshowtif.phpに送信すると、設定ファイルや初期化ファイルなどのシステムファイルを取得可能です。

Magic Wormholeは、任意のサイズのファイルやディレクトリを一台のコンピュータから別のコンピュータへ転送することを可能にします。バージョン0.21.0から0.23.0未満の間において、悪意のある相手からファイルを受信する（wormhole receive）と、~/.ssh/authorized_keysや.bashrcなどの重要なローカルファイルが上書きされる可能性がありました。これにより、受信者のコンピュータが侵害される恐れがあります。この攻撃を行えるのはファイルの送信者（wormhole sendを実行する側）のみであり、他の関係者（転送/中継サーバを含む）はwormholeプロトコルにより除外されます。この脆弱性はバージョン0.23.0で修正されました。

Unraidのアップデートリクエストにおけるパストラバーサルにより、リモートコード実行が可能となる脆弱性です。この脆弱性を悪用すると、リモートの攻撃者が影響を受けるUnraidのインストール環境で任意のコードを実行できます。悪用には認証が必要です。脆弱性はupdate.phpファイルに存在し、ユーザーから提供されたパスの適切な検証がファイル操作の前に行われていないことが原因です。攻撃者はこの脆弱性を利用してroot権限のコンテキストでコードを実行可能です。ZDI-CAN-28951として報告されています。

Unraidに認証リクエストパストラバーサルによる認証バイパスの脆弱性があります。この脆弱性により、リモートの攻撃者がUnraidの影響を受けるインストール環境で認証を回避できます。この脆弱性を悪用する際に認証は不要です。具体的な脆弱性はauth-request.phpファイルに存在します。問題の原因は、認証に使用される前にユーザーが提供したパスが適切に検証されていないことです。攻撃者はこの脆弱性を悪用してシステムの認証を回避できます。元の識別番号はZDI-CAN-28912でした。

OpenClawの2026年2月14日より前のバージョンには、apply_patchにパストラバーサルの脆弱性があり、攻撃者が設定されたワークスペースディレクトリの外部にファイルを書き込みまたは削除できる可能性があります。apply_patchがファイルシステムのサンドボックス制限なしで有効になっている場合、攻撃者はディレクトリトラバーサルシーケンスや絶対パスを含む細工されたパスを利用し、ワークスペースの境界から逃れて任意のファイルを変更できます。

Tinaはヘッドレスコンテンツ管理システムです。バージョン2.1.7以前のTinaCMS開発サーバーのメディアアップロードハンドラにパス・トラバーサルの脆弱性が存在します。media.tsのコードは、ユーザー制御下のパス区切り文字をpath.join()で結合していますが、その結果できるパスが意図されたメディアディレクトリ内に収まっているかどうかを検証していません。そのため、ファイルシステム上の任意の場所にファイルを書き込むことが可能です。この脆弱性はバージョン2.1.7で修正されています。

Tinaはヘッドレスコンテンツ管理システムです。バージョン2.1.8より前のTinaCMS CLIの開発サーバーには、パス・トラバーサルの脆弱性があるメディアエンドポイントが存在し、攻撃者が意図されたメディアディレクトリ外のファイルシステム上の任意のファイルを読み書きできる可能性があります。tinacms devを実行すると、CLIはローカルHTTPサーバー（デフォルトのポート4001）を起動し、/media/list/*、/media/upload/*、/media/*などのエンドポイントを公開します。これらのエンドポイントはdecodeURI()およびpath.join()を使ってユーザー制御のパスセグメントを処理しますが、解決されたパスが設定されたメディアディレクトリ内に留まっているかどうかを検証しません。この脆弱性はバージョン2.1.8で修正されました。

Dataeaseはオープンソースのデータ可視化分析ツールです。バージョン2.10.20以前では、IniFileパラメータを制御することで、攻撃者が悪意のある構成ファイルをJDBCドライバーに読み込ませることが可能でした。この構成ファイルは危険なJDBCプロパティを注入でき、リモートコード実行につながるおそれがあります。Redshift JDBCドライバーの実行フローはgetJdbcIniFileというメソッドに到達します。getJdbcIniFileメソッドは積極的な自動構成ファイル検出機能を実装しており、明示的に制限されていない場合はrsjdbc.iniというファイルを検索します。JDBC URLの文脈では、ユーザーがURLパラメータを介して構成ファイルを明示的に指定でき、これによりサーバー上の任意のファイルをJDBC構成ファイルとして読み込ませることが可能です。Redshift JDBCドライバーのプロパティ内でIniFileパラメータは明示的にサポートされており、外部構成ファイルの読み込みに使用されています。この脆弱性はバージョン2.10.20で修正されました。

DartおよびFlutter SDKは、Dartプログラミング言語のためのソフトウェア開発キットを提供します。Dart SDKのバージョン3.11.0未満およびFlutter SDKのバージョン3.41.0未満では、pubクライアント（`dart pub`および`flutter pub`）がpubキャッシュ内のパッケージを展開する際に、悪意のあるパッケージアーカイブが`PUB_CACHE`の対象ディレクトリ外にファイルを展開する可能性がありました。ファイルを書き込む前にファイルパスを正規化することで、攻撃者がシンボリックリンクを介して上位ディレクトリに遡ることができなくなる修正がコミット26c6985c742593d081f8b58450f463a584a4203aで適用されました。このパッチはDart 3.11.0およびFlutter 3.41.0でリリースされました。pub.dev上のすべてのパッケージはこの脆弱性に対して精査されており、新しいパッケージにシンボリックリンクを含めることは許可されていません。pubクライアント自体はシンボリックリンクをアップロードせず、リンクされたエントリを複製しており、これを何年も行ってきました。依存関係がすべてpub.devや悪意のあるコードを含まないと信頼されているサードパーティリポジトリ、またはgit依存関係からのものである場合、この脆弱性は影響を及ぼしません。

OneUptimeはオンラインサービスの監視と管理のためのソリューションです。バージョン10.0.21以前では、認証されていないパストラバーサル脆弱性が/workflow/docs/:componentNameエンドポイントに存在し、サーバーのファイルシステムから任意のファイルを読み取ることが可能でした。componentNameルートパラメータは、サニタイズや認証ミドルウェアなしに、orker/FeatureSet/Workflow/Index.ts内のres.sendFile()に直接ファイルパスとして連結されています。この脆弱性はバージョン10.0.21で修正されました。

OliveTinはウェブインターフェイスを通じてあらかじめ定義されたシェルコマンドへのアクセスを提供します。3000.11.2以前のバージョンでは、saveLogs機能が有効になっている場合、OliveTinは実行ログエントリをディスクに保存します。これらのログファイルのファイル名はStartAction APIリクエストのユーザー入力であるUniqueTrackingIdフィールドの値の一部から構成されます。この値はファイルパスに使用される際に検証やサニタイズが行われておらず、攻撃者はディレクトリトラバーサルシーケンス（例：../../../）を利用してファイルシステムの任意の場所にファイルを書き込むことが可能でした。この脆弱性は3000.11.2で修正されました。

低権限のリモート攻撃者が、特権昇格された権限で実行されるバックアップ復元機能UBR（ubr-restore）を悪用し、バックアップアーカイブの内容を検証しないために、システムの任意の場所に任意のファイルを作成または上書きすることができます。

低権限のリモート攻撃者がwwupload.cgiエンドポイントの任意ファイル書き込み脆弱性を悪用する可能性があります。この脆弱性は、パストラバーサルによってデバイス上の任意のファイルを上書きできるため、システム全体を完全に侵害することが可能です。

jaraco.contextは有用なデコレータやコンテキストマネージャを提供するオープンソースソフトウェアパッケージであり、バージョン5.2.0以降6.1.0未満の`jaraco.context.tarball()`関数にZip Slipパス・トラバーサルの脆弱性があります。この脆弱性により、悪意のあるtarアーカイブが処理される際に、攻撃者が意図された展開ディレクトリ外へファイルを展開できる可能性があります。strip_first_componentフィルタはパスを最初の`/`で分割し二番目の要素を抽出しますが、`../`のシーケンスを許可してしまいます。そのため、`dummy_dir/../../etc/passwd`は`../../etc/passwd`になります。また、ネストされたtarファイルにおけるマルチレベルの攻撃にも脆弱であり、例えば`dummy_dir/inner.tar.gz`内にトラバーサルパス`dummy_dir/../../config/.env`が含まれている場合も、`../../config/.env`として展開されます。この問題はバージョン6.1.0で修正されました。

Exploding Gradients RAGAS v0.2.3からv0.2.14のImageTextPromptValueクラスには任意のファイルを読み取る脆弱性があります。この脆弱性は、マルチモーダル入力を処理する際にretrieved_contextsパラメータで提供されるURLの検証およびサニタイズが不適切であることが原因です。

Open Security Issue Management (OSIM) v2025.9.0以前のバージョンに存在するnginx設定ファイルの$uri$argsの連結処理により、クエリパラメータを介してパストラバーサル攻撃が可能になる脆弱性があります。

Home-Gallery.orgは、個人の写真やビデオを閲覧するためのセルフホスト型オープンソースのウェブギャラリーです。バージョン1.21.0より前のバージョンでは、ユーザーがダウンロードを要求した際に、要求されたファイルがメディアソースのディレクトリ内に存在するかどうかの検証が行われていませんでした。その結果、機密性の高いシステムファイルもダウンロード可能になる恐れがありました。この問題はバージョン1.21.0で修正されています。

ZarfはKubernetes向けのエアギャップネイティブパッケージマネージャーです。バージョン0.54.0から0.73.1未満のバージョンにおいて、アーカイブ展開時のパス・トラバーサル脆弱性が存在し、特別に細工されたZarfパッケージが宛先ディレクトリの外部を指すシンボリックリンクを作成できました。そのため、パッケージを処理するシステム上で任意のファイルの読み取りまたは書き込みを可能にしていました。この問題はバージョン0.73.1で修正されました。

OpenClawの2026年2月14日以前のバージョンには、サンドボックススキルのミラーリング機能（有効にする必要があります）にパス・トラバーサルの脆弱性があります。この機能はスキルをサンドボックス作業領域にコピーする際に、スキルのfrontmatter nameパラメータをサニタイズせずに使用します。攻撃者が「../」のようなトラバーサルシーケンスや絶対パスをnameフィールドに含む巧妙に作成したスキルパッケージを提供すると、サンドボックス作業領域のルートディレクトリの外部にファイルを書き込むことが可能になります。

SEPPmail Secure Email Gatewayのバージョン15.0.1以前のGINAウェブインターフェースは、GINAで暗号化されたメールの添付ファイル名を適切に検証しないため、攻撃者がゲートウェイ上のファイルにアクセスする可能性があります。

TP-Link Deco BE25 v1.0（ウェブモジュール）には、パス名を制限されたディレクトリに適切に制限しない「パストラバーサル」脆弱性が存在します。この脆弱性により、認証済みの隣接する攻撃者が任意のファイルを読み取ったり、サービス拒否を引き起こしたりする可能性があります。この問題は、Deco BE25 v1.0から1.1.1 Build 20250822までのバージョンに影響します。

kanikoは、コンテナやKubernetesクラスター内でDockerfileからコンテナイメージをビルドするためのツールです。バージョン1.25.4から1.25.10未満の間、kanikoは`filepath.Join(dest, cleanedName)`を使用してビルドコンテキストアーカイブを展開していましたが、最終パスが`dest`内にとどまることを強制していませんでした。`../outside.txt`のようなtarエントリは展開ルートを越えて宛先ディレクトリ外にファイルを書き込みます。レジストリ認証を使用する環境では、これをdocker credential helperと組み合わせて、エグゼキュータプロセス内でコード実行を達成できます。バージョン1.25.10では、tar展開のパス解決にsecurejoinを使用しています。

複数の箇所で不正なユニコード正規化により、機密ディレクトリへのアクセスを防ぐために設計されたファイルパスフィルターを回避できます。これにより、追加の実行権限を必要とせずにローカル権限の昇格が発生する可能性があります。攻撃にはユーザーの操作が必要です。

BugreportContentProvider.javaのopenFileにおいて、パストラバーサルの脆弱性により、不正なファイルの読み書きが可能になる場合があります。これにより、追加の実行権限を必要とせずにローカルで権限のエスカレーションが発生する可能性があります。攻撃を行うためにユーザーの操作は不要です。

bolo-blog の bolo-solo 2.6.4 までに脆弱性が発見されました。これはコンポーネント Filename Handler のファイル src/main/java/org/b3log/solo/bolo/prop/BackupService.java にある関数 importFromMarkdown に関係しています。引数 File の操作によってパストラバーサルが発生する可能性があります。この攻撃はリモートから実行される可能性があります。エクスプロイトが公開されており、悪用される恐れがあります。問題は早期に課題報告を通じてプロジェクトに通知されましたが、まだ対応がされていません。

Zedというコードエディタには、バージョン0.224.4より前の拡張機能のアーカイブ展開機能にZip Slip（パストラバーサル）脆弱性が存在します。`crates/util/src/archive.rs`の`extract_zip()`関数は、ZIPエントリのファイル名に含まれるパストラバーサルシーケンス（例：`../`）を検証しません。このため、悪意のある拡張機能が細工されたZIPアーカイブをダウンロードおよび解凍することで、指定されたサンドボックスディレクトリの外部にファイルを書き込むことが可能となります。バージョン0.224.4でこの問題は修正されています。

thinkgem JeeSite バージョン5.15.1までに脆弱性が発見されました。影響を受けるのはコンポーネント Connection Handler の未確認の関数です。この操作によりパストラバーサルが発生します。この攻撃はリモートで開始可能です。攻撃の難易度は高いとされています。悪用することは困難だと説明されています。この脆弱性のエクスプロイトは公開されており、使用される可能性があります。ベンダーには早期にこの情報を通知しましたが、対応はされませんでした。

bolo-blogおよびbolo-soloのバージョン2.6.4までに脆弱性が検出されました。影響を受ける箇所は、コンポーネントのZIPファイルハンドラーにあるsrc/main/java/org/b3log/solo/bolo/prop/BackupService.java内の関数unpackFilteredZipです。この関数では引数のFileを操作する際にパストラバーサルが発生します。この攻撃はリモートで実行可能です。エクスプロイトは既に公開されており、悪用される可能性があります。プロジェクトには問題が早期に報告され通知されましたが、まだ対応が完了していません。

MiniGal Nano バージョン0.3.5以前には、index.phpのdirパラメータを介したパス・トラバーサルの脆弱性があります。アプリケーションはユーザーが制御する入力をphotosディレクトリに追加し、ドットドット（..）シーケンスを除去してトラバーサルを防止しようとしますが、この保護は巧妙に作成されたディレクトリパターンを使用することで回避できます。攻撃者はこの挙動を悪用して、Webサーバーが読み取り可能な意図しないファイルシステムの場所から画像ファイルを列挙および表示させ、その結果、意図しない情報漏えいが発生します。

gSOAP 2.8にはディレクトリトラバーサルの脆弱性が存在し、認証されていない攻撃者がHTTPのパストラバーサル手法を悪用してシステムファイルにアクセス可能です。攻撃者は複数の"../"というディレクトリトラバーサルシーケンスを含む細工されたGETリクエストを送信することで、/etc/passwdのような機密ファイルを取得できます。

7-ZipのZIPファイル解析におけるディレクトリトラバーサルを利用したリモートコード実行の脆弱性です。この脆弱性により、リモートの攻撃者が7-Zipの影響を受けるインストール環境で任意のコードを実行できます。この脆弱性を悪用するには製品とのインタラクションが必要ですが、攻撃手法は実装によって異なる場合があります。具体的な欠陥はZIPファイル内のシンボリックリンク処理に存在します。ZIPファイル内の細工されたデータにより、プロセスが意図しないディレクトリへ移動してしまう可能性があります。攻撃者はこの脆弱性を利用してサービスアカウントの権限でコードを実行できます。ZDI-CAN-26743として報告されています。

MuYuCMS 2.7に脆弱性が確認されました。影響を受けるのは、コンポーネント「テンプレート管理ページ」のファイルapplication/admin/controller/Template.php内の関数delete_dir_fileです。この関数の引数temn/tpの操作によりパストラバーサルが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。ベンダーには早期に通知しましたが、対応はありませんでした。

Crafty Controllerのバックアップ構成コンポーネントには入力無効化の脆弱性が存在し、リモートの認証済み攻撃者がパストラバーサルを利用してファイルの改ざんやリモートコードの実行を行うことが可能です。

Crafty Controller の File Operations API Endpoint コンポーネントにおける入力無効化の脆弱性により、リモートの認証済み攻撃者がパス・トラバーサルを利用してファイルを改ざんし、リモートコードを実行する可能性があります。

FiberはGoで書かれたExpressに触発されたウェブフレームワークです。Fiberにはパストラバーサル（CWE-22）の脆弱性があり、リモート攻撃者がstaticミドルウェアのサニタイザを回避してWindows上のサーバーファイルシステム上の任意のファイルを読み取ることができます。この脆弱性はFiber v3のバージョン3.0.0までに影響しますが、Fiber v3のバージョン3.1.0で修正されています。

MindsDBは企業データから人工知能を構築するためのプラットフォームです。バージョン25.9.1.1以前には、認証された攻撃者がリモートコマンド実行を達成できる、MindsDBの/api/filesインターフェースにパストラバーサルの脆弱性が存在していました。この脆弱性は「ファイルアップロード」モジュールにあり、APIエンドポイント/api/filesに対応しています。マルチパートファイルアップロードはアップロードされたファイルパスに対してセキュリティチェックを行わないため、攻撃者はファイル名フィールドに../のシーケンスを使用してパストラバーサルを実行できます。ファイル書き込み操作はclear_filenameおよびsave_fileの呼び出し前に発生し、ファイル名やファイルタイプのフィルタリングが行われないため、任意の内容をサーバー上の任意のパスに書き込むことが可能でした。バージョン25.9.1.1でこの問題は修正されています。

ADMのFTPバックアップは、ディレクトリリストを解析する際にFTPサーバーから受信したファイル名を適切にサニタイズしていません。悪意のあるサーバーや中間者攻撃者は、パストラバーサルシーケンスを含むファイル名を作成することで、クライアントが意図したバックアップディレクトリの外部にファイルを書き込ませることができます。パストラバーサルの脆弱性によって、攻撃者はシステム上の任意のファイルを上書きし、特権昇格やリモートコード実行を達成する可能性があります。影響を受ける製品とバージョンは、ADM 4.1.0からADM 4.3.3.ROF1まで、およびADM 5.0.0からADM 5.1.2.RE51までを含みます。