Papermerge 3.5.3 allows remote code execution by a standard…(CVE-2026-105314・CVSS 7.5)

概要

Papermerge 3.5.3 allows remote code execution by a standard user via directory traversal in a ...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Papermerge 3.5.3 allows remote code execution by a standard user via directory traversal in a /api/documents/upload call. A Python .pth file can be written to site-packages, and its code is executed upon the next start of the Python interpreter.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Papermerge 3.5.3には、/api/documents/uploadエンドポイントを通じたディレクトリトラバーサル攻撃によって、通常のユーザーがリモートでコードを実行できる脆弱性があります。Pythonの.pthファイルをsite-packagesに書き込むことが可能で、次回のPythonインタープリタ起動時にそのコードが実行されます。

❓ 何が問題か

Papermerge 3.5.3でリモートコード実行が可能になる脆弱性。

📍 影響範囲

バージョン3.5.3のPapermerge、/api/documents/uploadエンドポイント。

🔥 重要度

通常のユーザーによるディレクトリトラバーサルを用いたリモートコード実行が可能であり、重大な影響を及ぼす可能性があります。

🔧 修正方法

この問題を修正するには、ディレクトリトラバーサルを防止する入力の検証やフィルタリングを実装します。

🛡️ 暫定回避

影響を受けるエンドポイントを無効にするか、アクセス制御を厳密にすることで一時的に対処可能。

🔍 検知方法

ログや監査を通じて、予期しない場所へのファイル作成やコード実行を検出します。