Zipline 4.4.0以前にパス・トラバーサルの脆弱性、他ユーザーのファイルを上書きされるおそれ
概要
Ziplineの4.4.0以前には、認証済みのユーザーがファイル名の変更処理を悪用して、既存のアップロードファイルを上書きできる脆弱性があります。パス・トラバーサル（CWE-22）に分類され、CVSSのスコアは7です。修正版の情報は現時点では確認できていないため、最新の情報を確認してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Ziplineの4.4.0以前には、認証済みのユーザーがファイル名の変更処理を悪用して、既存のアップロードファイルを上書きできる脆弱性があります。パス・トラバーサル（CWE-22）に分類され、CVSSのスコアは7です。修正版の情報は現時点では確認できていないため、最新の情報を確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| dicedzipline |
4.4.0 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Zipline through 4.4.0 contains a path traversal vulnerability in the PATCH /api/user/files/:id rename endpoint that allows authenticated users to overwrite existing uploads by supplying unsanitized names. Attackers can submit names like ../uploads/victim.txt that bypass the raw-string database uniqueness check but normalize via path.join(), causing fs.rename() to replace other files' contents.
出典: CVE.org (CVE Program・cvelistV5) NVD