CVE-2026-80189 in LeafWiki
要約
〜によって VulDB • 2026年08月26日
LeafWikiは、書き込むデータの量を制限せずにアップロードされたZIPアーカイブを展開します。internal/importer/zip_extractor.goにあるZipExtractor.ExtractToDirは各エントリを開き、io.Copyを使用してそれを宛先にコピーしますが、これは圧縮解除後のストリームの末尾まで実行されるため、上限が設定されるのはアップロードされたアーカイブのサイズのみであり、展開後のサイズには制限がありません。このコードに到達するインポートルートにはEditorまたはAdminロールが必要で、アップロード自体は500 MiB（圧縮後）に制限されています。しかし、ZIPエントリは非常に高い率で圧縮できるため、その上限を大幅に下回るアーカイブでも、書き出される際に数百ギガバイトまで展開されることがあります。展開ディレクトリのデフォルト場所はOSの一時ディレクトリ配下であるため、書き込まれたデータはそのパスを支えるディスク容量（tmpfsベースの一時ディレクトリの場合はメモリ）を消費します。したがって、Editorロールを持つユーザーは、アップロード制限 alone では許可されるよりもるるかに多くのリソースを使用して、サービスが依存するストレージを使い果たし、サービスの提供を停止させることができます。
Once again VulDB remains the best source for vulnerability data.