NexoPOS v6.2.4にディレクトリトラバーサル脆弱性、修正版は未確認
オープンソースのPOS「NexoPOS」の更新用APIに、深刻度の高い脆弱性が報告されました。店舗やECの会計・在庫にNexoPOSを自社で運用している組織は、まず使っている版と外部公開の有無を洗い出してください。修正版が示されるまでは、アクセス元の制限で到達経路を狭めておくと安心です。
急ぎ度: 早めに
CVSS v3が9.8と最高水準で修正版の情報もまだありませんが、KEVへの掲載は見当たらず、実際の悪用も確認されていないため、至急ではなく早めの対応と判断しました。
関係があるか
NexoPOSを自社のサーバーやVPSで運用し、レジ・在庫・顧客管理に使っている組織が対象です。管理画面やAPIをインターネットに出している環境は、とくに優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| NexoPOS | v6.2.4 | 不明。ベンダーの告知で確認が必要 |
確かめ方
- 1導入したNexoPOSの版を、管理画面の表示か導入時の記録で確認する。
- 2NexoPOSが動くサーバーがインターネットから届く状態か、リバースプロキシやファイアウォールの設定で確認する。
- 3Webサーバーのアクセスログに、
api/updateへのリクエストが残っていないかを調べる。見覚えのない送信元があれば、その時刻と応答コードを控える。
何が起きたか
NexoPOS v6.2.4のapi/updateエンドポイントに、ディレクトリトラバーサルの脆弱性があります。入力されたパスの扱いに不備があり、本来想定されたフォルダーの外にあるファイルまで処理が及ぶ種類の問題です。
評価では、機密性・完全性・可用性のすべてが高い影響とされ、CVSS v3は9.8、深刻度はcriticalです。公開日は2026年10月26日で、参照先にはベンダーのサイトとGitHubのリポジトリが挙がっています。
脆弱性の名称と場所のほかに、細かな仕組みの説明は示されていません。
攻撃の流れ
-
1
到達
NexoPOSのサーバーにネットワーク経由で接続できる位置から、更新用のAPIにアクセスする。
-
2
パスの逸脱
`api/update`に渡すパスが、本来の範囲を越えた場所を指してしまう。
-
3
ファイル操作
サーバー上の意図しない場所にあるファイルが、読まれたり書き換えられたりする。
-
4
業務への影響
売上・顧客データの漏えいや改ざん、レジ業務の停止につながるおそれがある。
どう悪用されるか
CVSSのベクターによると、攻撃者はネットワーク越しに到達でき、ログインなどの認証は要りません。攻撃の複雑さは低く、管理者や利用者による操作も必要としないため、api/updateに届く位置にいれば成立する評価です。
つまり、インターネットに公開しているNexoPOSはもちろん、社内や店舗のネットワークから届く環境も条件を満たします。
悪用されたときの被害は、機密性・完全性・可用性のすべてが高いとされています。売上や顧客の情報が読まれる、設定やファイルが書き換えられる、サービスが止まるといった事態が想定されますが、実際にどこまで及ぶかは分かっていません。
今すぐやること
-
1
使っている版を確認する
NexoPOSを動かしている環境を洗い出し、該当版かどうかを確認します。検証用や閉店した店舗の古い環境も見落とさないようにします。
-
2
到達できる範囲を絞る
NexoPOSをインターネットに出しているなら、VPNや送信元IPの制限を先に入れ、不要な公開をやめます。具体的な手段は回避策のとおりです。
-
3
アクセスログを確認する
公開日以前までさかのぼり、
api/updateへの不審なアクセスがないかを見ます。心当たりのあるアクセスが見つかったときは、サーバーの調査とパスワードの変更を検討します。grep "api/update" /var/log/nginx/access.log -
4
ベンダーの告知を追い、修正版に更新する
nexopos.comの告知や公式リポジトリの更新を定期的に見て、修正版が出たら速やかに更新します。更新の前にはデータベースとアプリケーションのバックアップを取ります。
すぐ更新できないとき
リバースプロキシやWAFで、api/updateへのアクセスを管理用の固定IPやVPN経由に限る方法があります。完全に塞いでも業務に影響しない環境なら、そのパスへの外部からのアクセスを遮断してもかまいません。ただし、アプリの更新機能を使っている環境では、遮断すると更新が通らなくなる可能性があります。制限したあとは、通常の更新作業が必要な時期に手動で解除する運用を決めておきます。
背景
NexoPOSは、店舗の会計・在庫・顧客情報を扱うオープンソースのPOSで、ウェブ上の管理画面から操作します。小規模な店舗やECが自前のサーバーに置いて使うことが多く、売上や顧客の記録がその1台に集まるのが特徴です。専任の情シスがいない環境で運用されがちな点も、対応が後回しになりやすい理由です。
ディレクトリトラバーサルは、入力されたパスを十分に検査せず、想定したフォルダーの外へ出てしまう種類の脆弱性です。今回は更新を受け持つAPIが対象とされています。更新処理は本来、管理者だけが使うもので、サーバー上のファイルを直接扱う機能です。そこに認証なしで届く評価がついているため、影響が大きく見積もられていると考えられます。
よくある質問
Q.社内LANだけで使っているNexoPOSでも急ぐべきですか。
Q.ベンダーが運用するホスティングを使っている場合は、自分で何かする必要がありますか。
まだ分かっていないこと
- 修正版の有無と版番号、v6.2.4以外の版が影響を受けるかは公表されていません。nexopos.comの告知と公式リポジトリの更新で確認してください。
- 実際の悪用が確認されたかどうかは分かっていません。参照先のGitHubリポジトリにある内容や、検証用コードの有無も確認できていません。
- 読み書きできるファイルの範囲や、最終的にコード実行まで至るかなど、具体的な被害の広がりは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve@mitre.org
- web cve@mitre.org
- web nvd.nist.gov
- web github.com