CVE-2026-39399 in NuGet
要約
〜によって VulDB • 2026年06月05日
NuGet Galleryはnuget.orgを支えるパッケージリポジトリです。NuGetGalleryのバックエンドジョブにおける.nuspecファイルの処理にセキュリティ脆弱性が存在します。攻撃者は悪意のあるメタデータを含む作成されたnuspecファイルを供給し、クロスパッケージメタデータのインジェクションを引き起こすことができます。これにより、不十分な入力検証のため、リモートコード実行（RCE）や任意のblob書き込みが発生する可能性があります。この問題は、サニタイズされていないパッケージ識別子を用いたURIフラグメントインジェクションを通じて攻撃可能であり、攻撃者が解決されたblobパスを制御することを可能にします。これにより、.nupkgファイルに限らずストレージコンテナ内の任意のblobへの書き込みが可能となり、既存コンテンツの改ざんの可能性があります。この問題はコミット0e80f87628349207cdcaf55358491f8a6f1ca276で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.