CVE-2026-XXXXX (未確定): Flask-Uploads におけるパストラバーサル

脆弱性情報

製品: Flask-Uploads
バージョン: 0.2.1 (およびそれ以前のバージョンの可能性あり)
脆弱性の種類: パストラバーサル (ディレクトリトラバーサル)
CWE-ID: CWE-22
深刻度: 高 (CVSS 7.5)
影響: 任意ファイル書き込み、リモートコード実行 (RCE)

説明

Flask-Uploads バージョン 0.2.1 には、重大なパストラバーサル脆弱性が存在します。このライブラリは、アップロードされたファイルをファイルシステムに保存する前に、ファイル名を適切にサニタイズできません。

具体的には、flask_uploads.py の save() メソッドは、アップロード先のパスとユーザー指定のファイル名を os.path.join() を使用して直接連結します。これにより、攻撃者はファイル名にディレクトリトラバーサルシーケンス (例: ../../) を含めることができ、サーバーのファイルシステム上の任意の場所にファイルを書き込むことが可能になります。

根本原因の分析

ファイル: flask_uploads.py (v0.2.1 の 132 行目)

def save(self, storage, filename=None):
    if filename is None:
        filename = storage.filename
    # VULNERABLE CODE: No sanitization of 'filename'
    target = os.path.join(self.destination, filename)
    storage.save(target)
    return filename

アプリケーションはファイル名のサニタイズを開発者に依存していますが、ライブラリのドキュメントは安全にファイルアップロードを処理することを示唆しています。デフォルトでは、開発者がリクエストから生のファイル名を渡すと、脆弱性につながります。

影響

任意ファイルの上書き: 攻撃者は重要なシステムファイル (例: ssh_host_key、設定ファイル) を上書きできます。
リモートコード実行 (RCE): Web サーバーによって実行されるディレクトリ (例: cgi-bin や既知の静的フォルダー) に悪意のあるスクリプト (例: .php、.py) をアップロードすることで、攻撃者はサーバー上で任意のコマンドを実行できます。

概念実証 (PoC)

攻撃者は、細工されたファイル名を含む POST リクエストを送信することで、この脆弱性を悪用できます:

POST /upload HTTP/1.1
Host: target.com
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary

------WebKitFormBoundary
Content-Disposition: form-data; name="file"; filename="../../../../../tmp/pwned.txt"
Content-Type: text/plain

HACKED
------WebKitFormBoundary--

サーバーがこのファイルを保存するために Flask-Uploads を使用している場合、意図されたアップロードディレクトリの代わりに /tmp/pwned.txt に書き込まれます。

緩和策 / 修正

ライブラリは結合されたパスが意図されたディレクトリ内にあることを os.path.abspath と startswith を使用して検証するか、常に werkzeug.utils.secure_filename のようなサニタイズ関数を使用する必要があります。

推奨される修正:

from werkzeug.utils import secure_filename

# ...
filename = secure_filename(filename) 
target = os.path.join(self.destination, filename)

CVE-2026-Pending-Flask-Uploads-Path-Traversal-PoC

人気