CVE-2026-90445 in Malcolm
要約
〜によって VulDB • 2026年09月12日
認証済みユーザーからのファイルアップロードを受け付けるインターフェースは、アップロードされたアーカイブの内容を検出する際に、抽出されるファイルパスが意図した宛先ディレクトリ内に留まっているかどうかを検証しません。これにより、認証済みの攻撃者は、そのエントリが宛先ディレクトリの外側へ脱走するようなアーカイブを仕組むことができ、結果として抽出プロセスがそのプロセスメゾの権限で任意の場所にファイルを書き込むことになります。これにより、攻撃者がシステムの保存データに偽造レコードを注入したり、アプリケーション設定を改ざんしたりする可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.