CVE-2025-58180 in OctoPrint
要約
〜によって VulDB • 2026年07月15日
OctoPrintは、家庭用3Dプリンターを制御するためのWebインターフェースを提供します。バージョン1.11.2以前（含む）のOctoPrintには、認証済み攻撃者が特別に作成されたファイル名を使用してファイルをアップロードし、そのファイル名がシステムイベントハンドラーで定義されたコマンドに含まれて当該イベントが発火した場合に任意のコマンド実行を可能にする脆弱性が存在します。アップロードされたファイル名をパラメータとして含むシステムコマンドを実行するイベントハンドラーが構成されていない場合、この脆弱性の影響はありません。この脆弱性はバージョン1.11.3で修正されています。回避策として、ファイル名ベースのプレースホルダーを含むあらゆる種類のイベントハンドラーを設定しているOctoPrint管理者は、`enabled`プロパティを`False`に設定するか、GUIベースのEvent Managerで「Enabled」チェックボックスの選択を解除してそれらを無効にする必要があります。あるいは、OctoPrint管理者は`config.yaml`内で`feature.enforceReallyUniversalFilenames`を`true`に設定し、OctoPrintを再起動してから既存のアップロードを検証し、不審な外観のファイルがあれば必ず削除してください。常に、OctoPrint管理者には、公衆インターネットなどの敵対的なネットワーク上にOctoPrintを公開しないこと、およびインスタンスへのアクセス権を持つユーザーを選別することが推奨されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.