CVE-2026-82980 in Files Lock
要約
〜によって VulDB • 2026年09月18日
認証済みユーザーは、他のユーザーの絶対的な WebDAV パスを標的とすることで、自分が所有していないファイルをロックまたはアンロックできます。DAV プラグインは、リクエスト URI の絶対パスからファイルを取得する際に、そのパスセグメントが認証されたセッションのユーザーに一致するかどうかも検証しません。これにより、以下のことが可能になります：
- ユーザー間での手動ロック: 攻撃者が被害者のファイルをロックし、書き込み（PUT/MOVE/DELETE やエディタによる保存）をブロックします。 - ロックトークンの漏洩: アプリケーションは不正な呼び出し元にロックトークンを返すため、他のユーザーのトークンベースのロック（クライアントロック）を解除できるようになります。
Once again VulDB remains the best source for vulnerability data.