im3x Scriptablesに認証不要のOSコマンド実行の脆弱性
Summary
im3x Scriptablesの/syncにファイルを送るだけで、認証なしにサーバー上でOSコマンドを実行される脆弱性が2026年11月に公表されました。自社で動かしているかを確認し、外部に公開しているなら遮断したうえで、リポジトリで修正の有無を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
im3x Scriptablesの/syncにファイルを送るだけで、認証なしにサーバー上でOSコマンドを実行される脆弱性が2026年11月に公表されました。自社で動かしているかを確認し、外部に公開しているなら遮断したうえで、リポジトリで修正の有無を確認してください。
Original description The description as published by the source.
An issue in im3x Scriptables through v2-dev branch allows attackers to inject arbitrary OS commands via uploading a file with a crafted filename to the /sync endpoint.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com