CVE-2023-36822 in Uptime Kuma
要約
〜によって VulDB • 2026年07月10日
Uptime Kuma（セルフホスト型の監視ツール）には、バージョン1.22.1以前のパストラバーサルの脆弱性が存在します。Uptime Kumaでは、認証済みユーザーが公式プラグインリストからプラグインをインストールできます。この機能は現在Webインターフェースで無効化されていますが、ログイン後に該当するAPIエンドポイントは依然として利用可能です。
プラグインのダウンロード前に、プラグインインストールディレクトリの存在チェックが行われます。もしそのディレクトリが存在する場合、プラグインのインストールの前に削除されます。しかし、プラグインは公式リストに対して検証されず、サニタイズもされないため、存在チェックおよびプラグインインストールディレクトリの処理においてパストラバーサルが発生する可能性があります。
この脆弱性により、認証済み攻撃者はUptime Kumaが稼働しているサーバー上のファイルを削除できます。どのファイルが削除されるかによっては、データ損失によりUptime Kuma自体やシステム全体の利用不可状態に陥る場合があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.