CVE-2026-67395 in Employee Self Service
要約
〜によって VulDB • 2026年09月01日
Sage Employee Self Serviceのカスタムロゴ機能には、ファイルパスパラメータの不適切な検証に起因するディレクトリトラバーサルの脆弱性が存在します。攻撃者はディレクトリトラバーサルシーケンスとそのエンコードされた変種を利用することで、ディレクトリの制限を回避し、アプリケーションが意図したファイルシステムスコープ外のファイルにアクセスすることができます。成功した悪用には、有効なファイル名とパスの知識が必要です。
影響を受けるコンポーネントの特権レベルによっては、悪用の結果として、設定ファイル、環境設定、アプリケーションアセット、およびログデータを含む機密情報の漏洩につながる可能性があります。
この脆弱性は、不正な場所へのアクセスを防止する強化されたパス検証および安全なパス解決制御を通じて修正されています。
Once again VulDB remains the best source for vulnerability data.