Zipline 4.5.0より前にフォルダー操作のIDORの脆弱性、他人のフォルダーを改変・削除されるおそれ
概要
Zipline 4.5.0より前のバージョンには、フォルダーを更新・削除するAPIで所有者の確認が行われない脆弱性（CVE-2026-126948）があります。認証済みの攻撃者が他人のフォルダーのIDを指定すると、名前変更や公開設定の変更、アップロードの有効化、削除を行えるおそれがあります。修正版の4.5.0に更新してください。CVSSv3は8.8です。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Zipline 4.5.0より前のバージョンには、フォルダーを更新・削除するAPIで所有者の確認が行われない脆弱性（CVE-2026-126948）があります。認証済みの攻撃者が他人のフォルダーのIDを指定すると、名前変更や公開設定の変更、アップロードの有効化、削除を行えるおそれがあります。修正版の4.5.0に更新してください。CVSSv3は8.8です。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| dicedzipline |
4.5.0 未満→ 4.5.0 |
4.5.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zipline before 4.5.0 contains an insecure direct object reference vulnerability caused by missing ownership verification in the PATCH and DELETE handlers for /api/user/folders/:id. Authenticated attackers can supply another user's folder ID to rename it, make it public, enable uploads, or delete it.
出典: CVE.org (CVE Program・cvelistV5) NVD