Zipline 4.5.0より前にフォルダー操作のIDORの脆弱性、他人のフォルダーを改変・削除されるおそれ
Summary
Zipline 4.5.0より前のバージョンには、フォルダーを更新・削除するAPIで所有者の確認が行われない脆弱性（CVE-2026-126948）があります。認証済みの攻撃者が他人のフォルダーのIDを指定すると、名前変更や公開設定の変更、アップロードの有効化、削除を行えるおそれがあります。修正版の4.5.0に更新してください。CVSSv3は8.8です。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Zipline 4.5.0より前のバージョンには、フォルダーを更新・削除するAPIで所有者の確認が行われない脆弱性（CVE-2026-126948）があります。認証済みの攻撃者が他人のフォルダーのIDを指定すると、名前変更や公開設定の変更、アップロードの有効化、削除を行えるおそれがあります。修正版の4.5.0に更新してください。CVSSv3は8.8です。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
< 4.5.0→ 4.5.0 |
4.5.0 |
Original description The description as published by the source.
Zipline before 4.5.0 contains an insecure direct object reference vulnerability caused by missing ownership verification in the PATCH and DELETE handlers for /api/user/folders/:id. Authenticated attackers can supply another user's folder ID to rename it, make it public, enable uploads, or delete it.
Source: CVE.org (CVE Program・cvelistV5) NVD