CVE-2026-53535 in Activepieces
要約
〜によって VulDB • 2026年07月16日
Activepiecesは、オープンソースのAIワークフロー自動化プラットフォームです。バージョン0.82.0より前では、git-sync機能によりユーザーが設定したGitリポジトリがサーバー上の一時ディレクトリにクローンされ、その後フロー、テーブル、および接続の状態がそこに書き込まれてからプッシュバックされますが、2つの別々の脆弱性により、これらの書き込み操作が意図されたワークスペースを脱出し、ホストファイルシステムの任意のパスに到達することが可能でした。具体的には、Gitのリポジトリクローン時にシンボリックリンク処理が無効化されておらず、攻撃者がリモートリポジトリを制御できる場合、書き込み先をリダイレクトするシンボリックリンクを含めることができました。また、ディスク上のパス構築に使用される複数のユーザー提供識別子（リポジトリのスラッグ名、およびテーブル、フロー、接続のexternalId）は、`../` などのディレクトリトラバーサルシーケンスに対して検証されていませんでした。Self-hosted Enterprise Edition環境において、git-syncリポジトリの設定またはプッシュを許可されたユーザー（WRITE_PROJECT_RELEASE権限を持つ場合）、Activepiecesプロセスの実行ユーザーが書き込み可能な任意の場所にあるファイルを上書きさせることが可能であり、ホスト構成によっては改ざん、サービス拒否（DoS）、あるいはリモートコード実行に悪用される可能性があります。この問題はバージョン0.82.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.