A vulnerability was found in Dromara lamp-cloud up to 5.10.0…(CVE-2026-19757・CVSS 7.3)

概要

A vulnerability was found in Dromara lamp-cloud up to 5.10.0. This vulnerability affects unknown...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability was found in Dromara lamp-cloud up to 5.10.0. This vulnerability affects unknown code of the file FileAnyoneController.java of the component File-Upload Controller. Performing a manipulation of the argument bucket/bizType results in path traversal. The attack can be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Dromara lamp-cloudのバージョン5.10.0までのFile-Uploadコンポーネントの脆弱性。FileAnyoneController.java内の不明なコードが影響を受け、bucket/bizType引数の操作によりパストラバーサルが発生。遠隔で攻撃が可能で、エクスプロイトも公にされている。この問題についてはプロジェクトに報告済みだが、まだ対応はされていない。

❓ 何が問題か

Dromara lamp-cloudのFile-Uploadコントローラーでのパストラバーサル脆弱性。

📍 影響範囲

FileAnyoneController.javaの不明なコードに存在する。

🔥 重要度

リモートで攻撃可能で、エクスプロイトが公開されているため、高いリスクがある。

🔧 修正方法

この脆弱性に対するパッチはまだ公開されておらず、ソースコードの見直しが必要。

🛡️ 暫定回避

暫定的に、外部の入力に対するバリデーションを強化する。

🔍 検知方法

bucket/bizType引数の予期しない操作があるかを監視する。