Zipline

Vulnerabilities related to Zipline 27

• High 8.8 Zipline 3.7.9以前で招待コードを回避され、未認証でアカウントを作成される脆弱性 Zipline 3.7.9までの/api/auth/registerエンドポイントに認可の不備があり、招待とユーザー登録が有効な場合でも招待コードなしで登録できてしまいます。未認証の攻撃者がアカウントを作成し、多数のファイルをアップロードしてストレージを使い切るおそれがあります。CVSSは v3.1 で 8.6、v4.0 で 8.8 です。修正版の有無は公表されていないため、最新の情報を確認してください。 CVE-2024-58405 18:37
• High 8.3 Zipline認証済みの攻撃者にサーバー上のファイルを読み取られる脆弱性 Zipline 3.4.5から3.7.10より前のバージョンに、ユーザーデータのエクスポート機能でパス・トラバーサルの脆弱性が見つかりました。認証済みの攻撃者が、ユーザーIDの確認を回避してサーバー上の任意のファイルを読み取るおそれがあります。修正版の3.7.10に更新してください。 CVE-2024-58404 18:37
• High 8.1 Ziplineにファイルを任意の場所へ書き込まれる脆弱性 Zipline 4.3.2以前には、パストラバーサルの脆弱性があります。認証を受けたアップローダーが、x-zipline-filenameヘッダーにトラバーサル文字列を入れると、アップロード先の外側にファイルを作成または上書きできるおそれがあります。ローカルのデータソースを使う環境では、アプリケーションのデータが壊れたりサービスが止まったりするおそれがあるため、早めの確認をおすすめします。修正版の情報は現時点で確認できていないため、最新の情報を確認してください。 CVE-2025-71459 18:37
• Medium 6.9 Zipline before 4.0.2 Predictable Filenames via Math.random State Recovery Zipline before 4.0.2 contains a predictable filename vulnerability that allows attackers to infer other users' upload filenames by recovering the Math.random generator state. Attackers with five consecutive gfycat-style filenames can reconstruct the random state to predict previous and future filena... CVE-2025-71461 18:37
• Medium 4.2 Zipline before 4.2.1 Missing Ownership Check via /api/user/files/transaction Zipline before 4.2.1 contains a missing authorization vulnerability in the /api/user/files/transaction endpoint that allows authenticated users to modify other users' files due to absent ownership checks. Attackers who know a target file ID can submit transaction requests to edit or delete files bel... CVE-2025-71460 18:37
• Medium 6.1 Zipline before 3.7.12 XSS via url parameter on login page Zipline before 3.7.12 contains a cross-site scripting vulnerability in the login page that allows attackers to execute JavaScript by supplying an unvalidated url parameter. Attackers can craft a login link with a javascript: URI in the url parameter that executes in the victim's browser after login. CVE-2025-71462 18:37
• Medium 6.0 Zipline before 4.7.0 Race Condition in Invite and Quota Limits Zipline before 4.7.0 contains a race condition vulnerability that allows users to bypass invitation usage limits, upload storage quotas, and shortened-URL quotas through concurrent requests. Attackers can send overlapping registration, upload, or URL creation requests that pass checks against stale... CVE-2026-126936 18:34
• High 9.2 Zipline初期設定の脆弱性、管理者を作成される。4.6.5で修正 セルフホスト型のファイル共有サーバーZipline 4.6.5未満に、初期セットアップの受付を突かれて管理者アカウントを複数作られる脆弱性があります。修正版の4.6.5へ更新し、構築直後に公開していたインスタンスは見覚えのない管理者がいないかも調べてください。 CVE-2026-126937 18:34
• Medium 6.9 Zipline before 4.6.4 Unauthenticated File Listing via page Query Parameter Zipline before 4.6.4 contains an information disclosure vulnerability in GET /api/server/folder/:id that allows unauthenticated attackers to list files in non-public upload-only folders. Attackers who know the folder UUID can supply the page query parameter to bypass the metadata-only early return a... CVE-2026-126939 18:34
• High 7.1 Zipline 4.6.4未満で認証済みユーザーがアップロード上限を回避できる脆弱性 Zipline 4.6.4より前のバージョンには、認証済みユーザーがチャンク分割アップロードのContent-Rangeを偽装して、サイズとクォータの検査を回避できる脆弱性があります。小さなデータを送るだけで巨大なファイルが作られ、ディスク容量を使い切るおそれがあります。修正版の4.6.4が公開されているため、4.6.4以降へのアップデートを進めてください。 CVE-2026-126938 18:34
• Medium 6.9 Zipline before 4.6.4 Rate Limit Bypass via Query String and Header Zipline before 4.6.4 contains a rate limit bypass vulnerability that allows remote attackers to evade request limits by varying query strings or supplying the x-zipline-p-filename header. Attackers can append differing query parameters to login and file or short-link password verification endpoints... CVE-2026-126940 18:34
• Medium 5.4 Zipline before 4.6.2 Missing Authorization via POST /api/user/folders Zipline before 4.6.2 contains a missing authorization vulnerability in POST /api/user/folders that allows authenticated users to reparent other users' files by supplying their file IDs. Attackers can harvest file IDs from public folders and create a folder seeded with them, disclosing victims' file... CVE-2026-126942 18:34
• Medium 8.2 Ziplineに認証済みの管理者が上位管理者の情報を読める脆弱性 Ziplineの4.6.2以前には、認証済みの管理者が利用者情報の取得APIから上位管理者の二要素認証の秘密鍵やOAuthトークンを読み取れる脆弱性があります。これを使うと2要素認証を回避して上位管理者のアカウントを乗っ取られるおそれがあり、CVSS v4では8.2と評価されています。修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-126941 18:34
• Medium 6.9 Zipline 4.2.0 before 4.6.2 OAuth2 Client Secret Leakage in Startup Logs Zipline from 4.2.0 before 4.6.2 contains an information disclosure vulnerability that logs sensitive environment variable values, such as OAUTH_OIDC_CLIENT_SECRET, without redaction at startup. Attackers with access to system journal or docker logs can obtain OAuth2 client secrets and use them to ex... CVE-2026-126943 18:34
• High 9.3 Zipline脆弱性2件、XSSと認証回避 4.5.1に更新 Ziplineに、細工したファイルで閲覧者のブラウザー上でスクリプトが動く脆弱性と、パスキー認証を回避される脆弱性の2件が公表されました。社内外でファイル共有に使っている組織は4.5.1へ更新し、管理者アカウントの操作履歴も点検してください。 CVE-2026-126945 18:34
• Medium 5.8 Zipline before 4.6.1 Path Traversal via Imported Filenames in LocalDatasource Zipline before 4.6.1 contains a path traversal vulnerability in LocalDatasource that allows SUPERADMIN users to read or delete files outside the upload directory by importing records with traversal filenames. Attackers can trigger the unchecked range-read path with byte-range requests or set expired... CVE-2026-126944 18:34
• Medium 5.4 Zipline 4.3.0 before 4.5.0 Stored XSS via SSR Embed Meta Tags Zipline from 4.3.0 before 4.5.0 contains a stored cross-site scripting vulnerability that allows authenticated low-privilege users to inject HTML through unescaped embed settings in SSR meta tags. Attackers can set malicious embedTitle, embedDescription, embedSiteName, or embedColor values via PATCH... CVE-2026-126946 18:34
• High 8.8 Zipline 4.5.0より前にフォルダー操作のIDORの脆弱性、他人のフォルダーを改変・削除されるおそれ Zipline 4.5.0より前のバージョンには、フォルダーを更新・削除するAPIで所有者の確認が行われない脆弱性（CVE-2026-126948）があります。認証済みの攻撃者が他人のフォルダーのIDを指定すると、名前変更や公開設定の変更、アップロードの有効化、削除を行えるおそれがあります。修正版の4.5.0に更新してください。CVSSv3は8.8です。 CVE-2026-126948 18:34
• Medium 5.4 Zipline before 4.5.0 Stored Open Redirect via POST /api/user/urls Zipline before 4.5.0 contains a stored open redirect vulnerability that allows authenticated users to set arbitrary short URL destinations by abusing missing scheme validation in POST /api/user/urls. Attackers can store javascript: URIs or attacker-controlled URLs as destinations, causing visitors o... CVE-2026-126947 18:34
• High 7.0 Zipline 4.4.0以前にパス・トラバーサルの脆弱性、他ユーザーのファイルを上書きされるおそれ Ziplineの4.4.0以前には、認証済みのユーザーがファイル名の変更処理を悪用して、既存のアップロードファイルを上書きできる脆弱性があります。パス・トラバーサル（CWE-22）に分類され、CVSSのスコアは7です。修正版の情報は現時点では確認できていないため、最新の情報を確認してください。 CVE-2026-126949 18:34
• High 7.0 Ziplineに認証済みの攻撃者が任意のサーバーファイルを削除できる脆弱性 Zipline 4.4.0以前には、x-zipline-file-extensionヘッダーを使ったパストラバーサルの脆弱性があり、認証済みの攻撃者がサーバー上の任意のファイルを削除できます。影響はサービス停止やデータ消失につながるおそれがあります。CVSSは7で、修正版の情報は確認できていないため、最新の情報を確認してください。 CVE-2026-126950 18:34
• High 9.2 Zipline through 4.4.0 WebAuthn Authentication Bypass via Passkey Login Zipline through 4.4.0 contains an authentication bypass vulnerability in the WebAuthn login endpoint that creates sessions for a supplied registered credential ID without verifying the assertion. Attackers who obtain a target's passkey credential ID can impersonate that account without its authentic... CVE-2026-126952 18:34
• Medium 6.9 Zipline through 4.4.0 Authenticated Path Traversal via /api/user/files/:id/raw Zipline through 4.4.0 contains a path traversal vulnerability that allows authenticated users to read arbitrary server files by abusing a fallback treating the :id parameter as a datasource key. Attackers can send encoded traversal sequences in the :id of GET /api/user/files/:id/raw to escape the Lo... CVE-2026-126951 18:34
• Low 6.3 Zipline before 4.8.0 maxViews Limit Bypass via Race Condition CVE-2026-126935 Nov 12, 07:53
• Medium 6.9 Zipline 4.3.2 before 4.8.0 Rate Limit Bypass via Spoofed X-Forwarded-For CVE-2026-126934 Nov 12, 07:53
• Medium 5.3 Zipline 4.0.0 before 4.8.0 Disabled Extensions Upload Filter Bypass via Extension Format Mismatch CVE-2026-126933 Nov 12, 07:53
• Medium 5.3 Zipline 4.6.2 before 4.8.0 Disabled MIME Type Policy Bypass via File Metadata Update CVE-2026-126932 Nov 12, 07:53