高 8.8

ShowDoc 3.9.6未満の脆弱性、認証済みユーザーに任意のコマンドを実行される

CVE-2026-120203 SecPulse初出 2:25

概要

ShowDocのMock機能に脆弱性があり、ログインできる利用者がmockjsのテンプレートを通じてシェルコマンドを実行できます。影響を受けるのは2.8.14以降3.9.6未満で、3.9.6で修正されています。公式Dockerイメージではrootとして実行されるため、早めに3.9.6へ更新することをおすすめします。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
ShowDoc	ShowDoc	2.8.14 以上 3.9.6 未満	3.9.6

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

ShowDoc 2.8.14 before 3.9.6 contains a code injection vulnerability in its Mock feature that allows authenticated users to execute shell commands through mockjs templates. Attackers can store a template via MockController::add with escaped parentheses that mockjs evaluates with eval(), then trigger it through MockController::infoByKey to run commands, as root in the official Docker image.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory