根本原因

APIサーバー（src/server.ts）は認証なしで POST /crawl を公開しています。JSONボディはクローラーの Config に直接パースされ、outputFileName は z.string() としてのみ検証されます — パスに関する制約はありません：

src/core.ts の write() は、攻撃者が制御するその文字列から出力パスを直接構築し、fs.writeFile() を呼び出します：

したがって、リモートの認証なし攻撃者は、意図された storage/ 出力領域の外に書き込まれるファイルの完全なパスを制御できます — 絶対パス（/tmp/x、/home/<user>/x）または ../ トラバーサルを使用します。ファイルの内容はクロール結果 [{title,url,html}] であり、そのフィールドは攻撃者がクローラーを誘導したページ（url を自分が管理するサーバーに設定）に由来するため、内容は攻撃者の影響を受けます。

唯一の制約は、強制される -<N>.json サフィックス（名前は常に .json で終わる）とJSON配列の内容ラッパーです — これが、完全なRCEではなく任意ファイル書き込み（I:H）としてスコアリングされる理由です。

エクスプロイト

エンドポイントは、書き込まれたファイルの内容をHTTPレスポンスに反映します。実証的な証明は、ターゲットのファイルシステム上の攻撃者が選択したパスにファイルが出現することです（EVIDENCE.txt を参照）。

再現手順

後片付け: docker rm -f gptc-vuln; pkill -f 'http.server 8081'。

影響

認証なしのネットワーク攻撃者は、部分的に攻撃者が制御する内容で、任意のパスにファイルを作成または上書きできます（プロセスユーザーの権限と -<N>.json サフィックスの制約を受けます）。デプロイ環境によっては、設定ファイルやデータファイルの改ざん、アプリケーション状態の破壊（完全性/可用性）、および後で書き込まれた *.json ファイルを消費するターゲットでは、さらに連鎖攻撃が可能になります。

影響を受ける範囲に関する注意

このシンクはAPIサーバーモード（src/server.ts、npm run start:server / containerapp デプロイで起動）でのみ到達可能であり、デフォルトのCLIモードでは到達できません。サーバーは API_HOST（デフォルトは localhost）にバインドされます。APIを公開する実際のデプロイでは 0.0.0.0 に設定されるため（containerapp イメージがそうしているように）、エンドポイントはリモートから到達可能になります。

修正方法

• outputFileName を固定のベースディレクトリに対して解決し、結果がそこから外れる場合は拒否する（path.resolve(base, name) + プレフィックスチェック）。.. と絶対パスを除去する。
• POST /crawl に認証/認可を追加する。
• クロール出力ファイル名はサーバー制御とし、クライアント提供としない。

検出方法

outputFileName に /、\、または .. を含む POST /crawl ボディ、およびクローラーの storage/ ディレクトリ外に出現する *-1.json ファイルを探します。

クレジット

研究およびPoC: Caio Fabrício (BiiTts)。