Node.js版uploadfsのパス外アクセス問題

Node.js — CVE-2026-113651

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

uploadfsの古い版では、ファイル名に特別な記号を含めることで、保存先の外にあるファイルへ触れてしまうことがあります。使い方によっては、読み取りや削除まで影響する場合があります。

放置するとどうなるか

本来見えないファイルが読まれたり、書き換えられたりするおそれがあります。最悪の場合、サーバー上の重要ファイルが壊される可能性があります。

今すぐやること

uploadfsを1.28.0へ更新してください。利用者から渡されたパスをそのまま使っていないか、アプリ側の実装も点検してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「Prior to uploadfs 1.28.0」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

ApostropheCMS is an open-source Node.js content management system, and uploadfs is its file storage library. Prior to uploadfs 1.28.0, attacker-controlled paths that reach the local backend can contain parent-directory segments that escape the configured upload directory and affect file reads, writes, and deletion on the host filesystem. Exploitability depends on an application exposing the relevant uploadfs operations to untrusted path. This issue is fixed in uploadfs 1.28.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。