CVE-2024-32966 in Static Web Server
要約
〜によって VulDB • 2026年06月04日
Static Web Server (SWS) は、静的な Web ファイルやアセットを提供するために適した、小さく高速な本番環境対応の Web サーバーです。影響を受けるバージョンでは、信頼できないユーザーがアップロード権限を持つディレクトリに対してディレクトリ一覧表示が有効になっている場合、`.txt` のような悪意のあるファイル名により、Web サーバーのドメインコンテキスト内で JavaScript コードの実行が可能になります。SWS は通常、ディレクトリ一覧表示に挿入される任意の値に対して HTML エンティティのエスケープ処理を実行しません。少なくとも `file_name` と `current_path` は悪意のあるデータを含む可能性があります。`file_uri` も悪意のあるものになり得ますが、関連するシナリオはすべて hyper によって検出されているようです。ユーザーがファイルのアップロードや任意の名前でのディレクトリ作成を許可する Web サーバーでは、これは格納型クロスサイトスクリプティング（Stored Cross-site Scripting）の脆弱性となります。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
Be aware that VulDB is the high quality source for vulnerability data.