日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,735 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 パス・トラバーサル 直近1年 の検索結果：201–240 件目を表示（ページ 6）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
WWBN AVideoはオープンソースのビデオプラットフォームです。バージョン26.0およびそれ以前のバージョンにおいて、objects/aVideoEncoderReceiveImage.json.phpは認証されたアップローダーが攻撃者が制御する同一オリジンの/videos/... URLを取得できるようにし、ディレクトリトラバーサルのサニタイズを回避して、GIFポスターのストレージパスを通じてサーバーのローカルファイルを露出させる問題がありました。この脆弱なGIF関連機能は、/etc/passwdやアプリケーションのソースファイルなどのローカルファイルを読み取り、通常の公開GIFメディアURLを介してそれらのバイトを再公開するために悪用される可能性があります。
ApktoolはAndroidのAPKファイルのリバースエンジニアリングツールです。バージョン3.0.0および3.0.1において、`brut/androlib/res/decoder/ResFileDecoder.java`にパストラバーサルの脆弱性が存在し、悪意のあるAPKを用いることで標準のデコード処理（`apktool d`）中に任意のファイルをファイルシステムに書き込むことが可能でした。この脆弱性は2025年12月12日のコミットe10a045（PR #4041）で導入されたセキュリティ後退によるもので、以前はリソースファイル出力パスのパストラバーサルを防止していた`BrutIO.sanitizePath()`の呼び出しが削除されていました。攻撃者は`resources.arsc`のType String Poolに`../`の連続を埋め込むことで出力ディレクトリから脱出し、`~/.ssh/config`、`~/.bashrc`、またはWindowsのスタートアップフォルダーなど任意の場所にファイルを書き込んでRCE（リモートコード実行）を引き起こす可能性があります。バージョン3.0.2での修正では、ファイル書き込み操作の前に`ResFileDecoder.java`内で`BrutIO.sanitizePath()`が再導入されています。
JunrarはオープンソースのJava RARアーカイブライブラリです。バージョン7.5.10より前の`LocalFolderExtractor`にはパストラバーサルの脆弱性が存在しており、悪意のあるRARアーカイブを抽出する際に攻撃者が任意の内容を持つファイルを兄弟ディレクトリに書き込むことが可能でした。この問題はバージョン7.5.10で修正されました。
CWE-22 不適切なパス名の制限（パス・トラバーサル）に関する脆弱性が存在し、Web管理者ユーザーがPOST /REST/upssleepリクエストのペイロードを変更すると、重要なファイルがテキストデータで上書きされる可能性があります。
text-generation-webuiは、大規模言語モデルを実行するためのオープンソースのWebインターフェースです。バージョン4.1.1以前では、ユーザーが拡張設定を「py」形式でアプリのルートディレクトリに保存できました。これにより、例えば「download-model.py」ファイルなどのPythonファイルを上書きすることが可能でした。その後、このPythonファイルは「Model」メニューから新しいモデルのダウンロードを要求した際に実行される可能性がありました。この脆弱性はバージョン4.1.1で修正されました。
Fortinet FortiOS 7.6.0から7.6.4、FortiOS 7.4.0から7.4.9、FortiOS 7.2の全バージョン、FortiOS 7.0の全バージョン、FortiOS 6.4の全バージョン、FortiPAM 1.7.0、FortiPAM 1.6の全バージョン、FortiPAM 1.5の全バージョン、FortiPAM 1.4の全バージョン、FortiPAM 1.3の全バージョン、FortiPAM 1.2の全バージョン、FortiPAM 1.1の全バージョン、FortiPAM 1.0の全バージョン、FortiProxy 7.6.0から7.6.4、FortiProxy 7.4.0から7.4.11、FortiProxy 7.2の全バージョン、FortiProxy 7.0の全バージョン、FortiSwitchManager 7.2.0から7.2.7、FortiSwitchManager 7.0.0から7.0.6において、管理者プロファイルかつ少なくとも読み書き権限を持つ認証済み攻撃者が、特定のCLIコマンドを介して任意のファイルを書き込みまたは削除できる可能性がある、制限されたディレクトリへのパス名の不適切な制限（「パストラバーサル」）[CWE-22]の脆弱性が存在します。
Fortinet FortiAnalyzer 7.6.0から7.6.4、FortiAnalyzer 7.4.0から7.4.7、FortiAnalyzer 7.2のすべてのバージョン、FortiAnalyzer 7.0のすべてのバージョン、FortiAnalyzer Cloud 7.6.0から7.6.4、FortiAnalyzer Cloud 7.4.0から7.4.7、FortiAnalyzer Cloud 7.2のすべてのバージョン、FortiAnalyzer Cloud 7.0のすべてのバージョン、FortiManager 7.6.0から7.6.4、FortiManager 7.4.0から7.4.7、FortiManager 7.2のすべてのバージョン、FortiManager 7.0のすべてのバージョン、FortiManager Cloud 7.6.0から7.6.4、FortiManager Cloud 7.4.0から7.4.7、FortiManager Cloud 7.2のすべてのバージョン、FortiManager Cloud 7.0のすべてのバージョンにおいて、制限されたディレクトリのパス名の不適切な制限（「パストラバーサル」）の脆弱性が存在します。この脆弱性により、特権を持つ攻撃者が細工されたCLIリクエストを介して基盤となるファイルシステムからファイルを削除できる可能性があります。
Spring MVCおよびSpring WebFluxアプリケーションにおいて、Javaスクリプトエンジン（例：JRuby、Jython）を有効にしたテンプレートビューを使用すると、スクリプトテンプレートビューの設定された場所外のファイルから内容が漏洩する可能性があります。本問題はSpring Frameworkのバージョン7.0.0から7.0.5、6.2.0から6.2.16、6.1.0から6.1.25、5.3.0から5.3.46に影響を与えます。
Fortinet FortiSandbox 5.0.0から5.0.5、FortiSandbox 4.4.0から4.4.8、FortiSandbox 4.2の全バージョン、FortiSandbox Cloud 5.0.4、およびFortiSandbox PaaS 5.0.4において、パス名を制限されたディレクトリに適切に制限しない（パストラバーサル）の脆弱性が存在します。この脆弱性により、スーパ管理者プロファイルとCLIアクセス権を持つ特権攻撃者が、HTTPで細工されたリクエストを介して任意のディレクトリを削除できる可能性があります。
Zulipはオープンソースのチームコラボレーションツールです。バージョン1.4.0からバージョン11.6未満までの間、./manage.py importコマンドはuploads/records.json内のパストラバーサルによりサーバのファイルシステムから任意のファイルを読み取ることが可能でした。細工されたエクスポート用tarballにより、Zulipユーザーが読み取れる任意のファイルを、インポート時にサーバがuploadsディレクトリにコピーしてしまう問題が発生していました。この問題はバージョン11.6で修正されました。
Unixプラットフォームにおいて、File.ReadDirまたはFile.Readdirを使用してディレクトリの内容を一覧表示する際に、返されるFileInfoがファイルを開いたルートの外部にあるファイルを参照する可能性があります。このエスケープの影響は、ルート外のファイルの読み書きを許可せず、ファイルシステム上の任意の場所からlstatによって提供されるメタデータを読み取ることに限定されています。
Weblateはウェブベースのローカリゼーションツールです。5.17より前のバージョンでは、翻訳メモリアPIが意図しないエンドポイントを公開しており、その結果、適切なアクセス制御が行われていませんでした。この問題はバージョン5.17で修正されました。開発者がすぐにアップデートできない場合、この機能はデフォルトでCDNアドオンが有効になっていないため、無効化できます。
Logstashにおける制限されたディレクトリへのパス名の不適切な制限（CWE-22）は、相対パストラバーサル（CAPEC-139）を介して任意のファイル書き込みおよび潜在的なリモートコード実行につながる可能性があります。Logstashで使用されるアーカイブ抽出ユーティリティは、圧縮アーカイブ内のファイルパスを適切に検証していません。攻撃者が侵害された、または攻撃者が管理する更新エンドポイントを通じて特別に細工されたアーカイブをLogstashに提供できる場合、Logstashプロセスの権限でホストファイルシステムに任意のファイルを書き込むことが可能になります。自動パイプラインのリロードが有効な特定の構成では、これによりリモートコード実行にエスカレートする可能性があります。
@hono/node-serverはNode.js上でHonoアプリケーションを実行できるものです。1.19.13より前のバージョンでは、serveStaticにおけるパス処理の不整合により、リクエストパスに連続したスラッシュ（//）を使用すると保護された静的ファイルにアクセスされる可能性がありました。ルートベースのミドルウェア（例：/admin/*）が認証に使用される場合、ルーターは連続したスラッシュを含むパスと一致しないことがありますが、serveStaticはそれらを正規化されたパスとして解決します。これによりミドルウェアのバイパスが発生する可能性がありました。この脆弱性は1.19.13で修正されています。
Honoは任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.12.12より前のバージョンでは、serveStaticのパス処理の不一致により、リクエストパスに繰り返しスラッシュ（//）を使用することで保護された静的ファイルにアクセスできました。認可のためにルートベースのミドルウェア（例：/admin/*）が使用されている場合、ルーターは繰り返しスラッシュを含むパスと一致しないことがあり、一方でserveStaticはこれらを正規化されたパスとして解決します。これによりミドルウェアを回避できる可能性があります。この脆弱性は4.12.12で修正されました。
HonoはあらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.12.12以前には、toSSG()にパストラバーサルの問題があり、静的サイト生成中に設定された出力ディレクトリの外部にファイルを書き込むことが可能でした。ssgParamsを介して動的ルートパラメータを使用する場合、特別に細工された値によって生成されるファイルパスが意図した出力ディレクトリから逸脱することがあります。この脆弱性はバージョン4.12.12で修正されています。
Weblateはウェブベースのローカリゼーションツールです。バージョン5.17より前のバージョンでは、リポジトリ境界の検証が絶対パスに対する文字列のプレフィックスチェックに依存しており、これが解決されていませんでした。複数のコードパスで、このチェックはリポジトリルートパスに対してstartswithを使用しています。しかし、これはパスセグメントを認識しないため、外部パスがリポジトリパスと同じ文字列プレフィックスを共有している場合（例えば、repoとrepo_outside）は回避される可能性があります。この問題はバージョン5.17で修正されました。
ザイオソフト株式会社が提供するZiostation2には、次の脆弱性が存在します。 ・パストラバーサル（CWE-22）- CVE-2026-40062 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。 報告者：株式会社ファイブドライブ 三浦 祐太 氏
単一のURLデコード後に名前空間パラメータのパストラバーサルシーケンスを検証しますが、二重エンコードにより攻撃者はRuler APIエンドポイントloki/api/v1/rules/{namespace}でファイルを読み取ることが可能です。この脆弱性はPrasanth Sundararajanによって報告されました。
TalisharはファンメイドのFlesh and Bloodプロジェクトです。コミット6be3871以前に、gameNameパラメータにディレクトリトラバーサルの脆弱性が確認されていました。アプリケーションの主なエントリーポイントでは入力検証が実装されていますが、ParseGamestate.phpコンポーネントはスタンドアロンのスクリプトとして直接アクセスが可能です。この場合、内部でサニタイズが行われていないため、ディレクトリトラバーサルのシーケンス（例：../）が処理され、不正なファイルアクセスが発生する可能性があります。この問題はコミット6be3871で修正されました。
Apache PDFBoxのExamplesにおいて、不適切な制限のないパス名（パストラバーサル）脆弱性が報告されました。この問題はApache PDFBoxのExtractEmbeddedFiles例に影響を及ぼし、バージョン2.0.24から2.0.36、3.0.0から3.0.7までが対象となります。ユーザーは可能な限り速やかにバージョン2.0.37または3.0.8へアップデートすることを推奨します。ExtractEmbeddedFiles例にはパストラバーサル脆弱性が含まれており、バージョン2.0.36および3.0.7での変更はファイルパス区切り文字を考慮しておらず不完全でした。そのため、書き込み権限を持つユーザーが任意のパスへ悪意のある書き込みを行われる可能性があります。この例を本番コードにコピーしたユーザーは修正を適用しなければなりません。
Vimはオープンソースのコマンドラインテキストエディタです。zip.vimプラグインにはパス・トラバーサルのバイパスが存在し、特別に細工されたzipアーカイブを開く際に任意のファイルを上書きできる脆弱性があります。この問題はバージョン9.2.0280で修正されました。
PraisonAIAgentsはマルチエージェントチームシステムです。バージョン1.5.128以前では、FileToolsのlist_files()ツールはディレクトリパラメータを_validate_path()によってワークスペースの境界内かどうか検証しますが、パターンパラメータをPath.glob()に検証なしで直接渡していました。PythonのPath.glob()は..パスセグメントをサポートしているため、攻撃者はglobパターン内で相対パストラバーサルを利用し、ワークスペース外の任意のファイルを列挙し、ファイルのメタデータ（存在、名前、サイズ、タイムスタンプ）を取得することが可能でした。この脆弱性はバージョン1.5.128で修正されました。
Apache ActiveMQ Client、Apache ActiveMQ Broker、Apache ActiveMQ All、Apache ActiveMQ Web、および Apache ActiveMQ において、クラスパスのパス名の検証および制限が不適切である脆弱性が存在します。認証済みユーザーが提供した "key" 値が、Stomp コンシューマの作成時および Web コンソールでのメッセージ閲覧時の二つのケースでパス結合によりクラスパス横断を引き起こす可能性があります。その結果、アプリケーションはクラスパスのパスリソース読み込みに関する脆弱性にさらされ、他の攻撃と連鎖して悪用される恐れがあります。この問題は、Apache ActiveMQ Client の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ Broker の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ All の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ Web の 5.19.3 未満、6.0.0 から 6.2.2 未満、Apache ActiveMQ の 5.19.3 未満、6.0.0 から 6.2.2 未満に影響します。ユーザーはこの問題を修正したバージョン 5.19.4 または 6.2.3 へアップグレードすることを推奨します。なお、5.19.3 および 6.2.2 もこの問題を修正していますが、パス区切り文字の解決に関するバグは 5.19.4 および 6.2.3 で修正されているため、問題の影響は Windows 以外の環境に限定されています。
NVIDIA Triton Inference Serverにはtritonサーバーの脆弱性があり、攻撃者がモデル設定をアップロードすることで情報漏洩を引き起こす可能性があります。この脆弱性を悪用すると、情報漏洩やサービス拒否を引き起こす恐れがあります。
OpenPrinting CUPSは、Linuxおよびその他のUnix系オペレーティングシステム向けのオープンソース印刷システムです。バージョン2.4.16以前では、RSS通知機能にnotify-recipient-uri（例：rss:///../job.cache）におけるパストラバーサルの脆弱性が存在し、リモートのIPPクライアントがCacheDir/rss外（lpが書き込み可能な任意の場所）にRSS XMLバイトを書き込むことが可能です。特に、CacheDirはデフォルトでグループ書き込み可能（通常root:lp、パーミッション0770）であるため、通知機能（lp権限で動作）がtemp-fileとrename()を介してroot管理の状態ファイルを置き換えることができます。このPoCではCacheDir/job.cacheがRSS XMLで上書きされ、cupsdを再起動するとスケジューラがジョブキャッシュの解析に失敗し、以前キューに入っていたジョブが消失します。公開時点では、修正パッチはまだ公開されていません。
HelmはKubernetes用のチャートのパッケージマネージャーです。Helmのバージョン3.20.1以下および4.1.3以下において、特別に細工されたチャートがhelm pull --untar [チャートのURLまたはリポジトリ/チャート名]コマンドで、チャート名が付加された期待される出力ディレクトリではなく、即時の出力ディレクトリ（デフォルトはカレントワーキングディレクトリ、または--destinationおよび--untardirフラグで指定される場所）に書き込まれます。この脆弱性はバージョン3.20.2および4.1.4で修正されました。
EmissaryはP2Pベースのデータ駆動型ワークフローエンジンです。8.39.0以前のバージョンでは、設定APIエンドポイント（/api/configuration/{name}）がブラックリスト方式で設定名を検証しており、\、/、..、および末尾の..をチェックしていました。しかし、URLエンコードのバリエーションやダブルエンコード、Unicode正規化を用いることでこの検証を回避でき、パス・トラバーサルを引き起こして意図しないディレクトリ外の設定ファイルを読み取る可能性がありました。この脆弱性は8.39.0で修正されました。
pyLoadはPythonで書かれた無料かつオープンソースのダウンロードマネージャーです。0.5.0b3.dev97以前のバージョンにおいて、src/pyload/plugins/extractors/UnTar.pyの_safe_extractall()関数はパストラバーサル検査にos.path.commonprefix()を使用していました。この関数はパスレベルの比較ではなく文字レベルの文字列比較を行うため、特別に細工されたtarアーカイブが意図した抽出ディレクトリの外にファイルを書き込むことが可能でした。修正には正しい関数であるos.path.commonpath()が追加されていましたが、_safe_extractall()には適用されておらず、この修正は不完全でした。この脆弱性は0.5.0b3.dev97で修正されています。
File Browserは、指定されたディレクトリ内でファイルのアップロード、削除、プレビュー、名前変更、および編集を行うためのファイル管理インターフェースです。バージョン2.63.1より前では、rules/rules.goのMatches()関数がアクセスルールに対してパスを照合する際に、末尾のディレクトリセパレータなしでstrings.HasPrefix()を使用していました。これにより、/uploadsに対するルールが/uploads_backup/にもマッチし、本来意図しないディレクトリへのアクセスが許可されたり拒否されたりする可能性がありました。この脆弱性はバージョン2.63.1で修正されています。
flatpak-builderは、ソースからフラットパックを構築するためのツールです。バージョン1.4.5から1.4.8未満の間、license-filesマニフェストキーはモジュールのソースディレクトリに対するユーザー定義のライセンスファイルのパスの配列を受け入れます。その配列のパスはg_file_resolve_relative_path()を使用して解決され、2つのチェックによりソースディレクトリ内にとどまることが検証されます。これらのチェックは、シンボリックリンクを解決しないg_file_get_relative_path()と、最終パスコンポーネントにのみ適用されるG_FILE_QUERY_INFO_NOFOLLOW_SYMLINKS付きのg_file_query_file_type()です。コピー操作はホスト上で実行されます。これにより、細工されたマニフェストおよび/またはソースを使用してホストから任意のファイルを読み取り、ビルド出力に取り込むことが可能になります。この脆弱性はバージョン1.4.8で修正されました。
Camaleon CMSのバージョン2.4.5.0から2.9.0までのf54a77eコミット以前のバージョンには、AWS S3アップローダーの実装にパストラバーサルの脆弱性があります。この脆弱性を悪用すると、認証済みユーザーがWebサーバーのファイルシステムから任意のファイルを読み取ることができます。この問題は、アプリケーションがCamaleonCmsAwsUploaderバックエンドを使用するように構成されている場合に、download_private_file機能で発生します。ローカルアップローダーの実装とは異なり、AWSアップローダーではvalid_folder_path?でファイルパスの検証を行わず、fileパラメータによるディレクトリトラバーサルシーケンスの提供を許可しています。そのため、低権限の登録ユーザーを含む認証済みの任意のユーザーが/etc/passwdなどの機密ファイルにアクセス可能となっています。この問題は過去の修正が不完全に適用されたことによるものであり、AWS S3ストレージバックエンドを使用する環境に影響を与えます。
OpenVikingのバージョン0.2.1以前（修正コミット46b3e76）には、.ovpackインポート処理にパストラバーサルの脆弱性があり、攻撃者が意図されたインポートディレクトリの外にファイルを書き込むことが可能です。攻撃者はメンバー名にトラバーサルシーケンス、絶対パス、またはドライブプレフィックスを含む悪意のあるZIPアーカイブを作成し、インポートプロセスの権限で任意のファイルを上書きまたは作成できます。
FlatpakはLinuxのアプリケーションサンドボックスおよび配布フレームワークです。バージョン1.16.4以前では、ld.soのキャッシュ処理が古くなったキャッシュファイルを削除する際に、アプリが制御するパスがキャッシュディレクトリ内にあるかどうかを適切に確認していませんでした。これによって、Flatpakアプリがホスト上の任意のファイルを削除できる可能性がありました。この脆弱性はバージョン1.16.4で修正されました。
HelmはKubernetes用のチャートパッケージマネージャーです。バージョン4.0.0から4.1.3の間で、特別に細工されたHelmプラグインがインストールまたは更新されると、Helmがプラグインの内容を任意のファイルシステムの場所に書き込んでしまう可能性があります。これを防ぐために、Helmプラグインのplugin.yamlにPOSIXのドットドットパスセパレータ（例："/../"）を含むversion:フィールドが含まれていないことを検証してください。この脆弱性はバージョン4.1.4で修正されています。
CubeCart Limitedが提供するCubeCartには、次の複数の脆弱性が存在します。 ・OSコマンドインジェクション（CWE-78）- CVE-2026-21719 ・SQLインジェクション（CWE-89）- CVE-2026-34018 ・パストラバーサル（CWE-22）- CVE-2026-35496 この脆弱性情報は、下記の方が製品開発者に直接報告した後、情報セキュリティ早期警戒パートナーシップに基づき IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者：三井物産セキュアディレクション株式会社 佐藤 元 氏
ViteはJavaScript向けのフロントエンドツールフレームワークです。バージョン6.0.0から6.4.2、7.3.2、および8.0.5の前まで、devサーバーの最適化された依存関係の.mapリクエストの処理において、ファイルパスの解決およびreadFileの呼び出しがURL内の../セグメントを制限せずに行われていました。その結果、server.fs.strictの許可リストを回避して、プロジェクトルート外にある.mapファイルを取得できました。ただし、それらのファイルが有効なソースマップのJSONとして解析できる場合に限られます。この脆弱性はバージョン6.4.2、7.3.2、および8.0.5で修正されています。
Emmettはシンプルさを追求したフルスタックのPythonウェブフレームワークです。バージョン2.5.0から2.8.1未満の間、Emmettの内部アセット（/__emmett__パス）に対するRSGI静的ハンドラーがパストラバーサル攻撃に対して脆弱でした。攻撃者は../のシーケンス（例：/__emmett__/../rsgi/handlers.py）を使用して、アセットディレクトリ外の任意のファイルを読み取ることが可能でした。この脆弱性はバージョン2.8.1で修正されました。
SeoToaster Ecommerce 3.0.0には、認証された攻撃者がバックエンドのテーマエンドポイントのパスパラメータを操作することで任意のファイルを読み取れるローカルファイルインクルージョンの脆弱性があります。攻撃者は、getcss または getjs パラメータにディレクトリトラバーサルのシーケンスを含むPOSTリクエストを /backend/backend_theme/editcss/ または /backend/backend_theme/editjs/ に送信してファイルの内容を取得できます。
ColdFusionのバージョン2023.18、2025.6およびそれ以前のバージョンには、不適切な制限がないパス名により制限ディレクトリへのアクセスを制限できない脆弱性（「パストラバーサル」）が存在し、これにより任意のファイルシステムを読み取ることが可能になります。攻撃者はこの脆弱性を悪用して、意図されたアクセス範囲外の機密ファイルやディレクトリにアクセスできます。この問題を悪用するためにユーザーの操作は必要ありません。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,735件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。