zotlit-PoC — PoC — ZotLit の添付ファイルインポートが未承認のローカルパスからファイルをコピーする脆弱性（GHSA-4qh7-66xv-h329、CVE-2026-87000、CVSS 5.5）。 | Kitploit

packages/db/src/lib/zt-path.ts:62-63 — attachmentAbsPath()、"linked-absolute" ケース:
```
case "linked-absolute":
  return parsed.path;
```
linkMode: 2 (linked_file) の行で、その path に attachments: ベースディレクトリのプレースホルダが含まれていない場合、parsed.path はDBの生の文字列がそのまま読み取り対象の絶対ファイルシステムパスとして返されます — 許可リストもなく、Zoteroデータディレクトリやユーザー承認済みの場所への制限もありません。
packages/db/src/lib/context/zt-template-attach.ts:101-106 — attachmentFilename()、"linked-absolute" ケース:
```
case "linked-absolute":
  return basename(path.path);
```
vault内コピーを構築するために使用されるファイル名は、同じ攻撃者制御のパスから basename() を介して導出されるため、宛先ファイル名は攻撃者の影響を受けますが、パス区切り文字は含まれません（この分岐ではトラバーサル安全）。
apps/obsidian/src/services/note-import/note-parser.ts:403-430 — resolveEmbeddedImage() は、Zoteroの文献ノートに埋め込まれた画像注釈をObsidian Markdownに変換する際に呼び出されます（ZotLitの「Import Note」機能の日常的でデフォルトの動作）。これは sourcePath = attachmentAbsPath(attachment, ...) を解決し、deps.resolveLink({ sourcePath, vaultName: \${attachment.key}-${filename}` })` を呼び出します — 攻撃者が選択した任意の絶対パスのコピーをvaultにキューイングします。
apps/obsidian/src/services/attachment-import/service.ts:125-155 — AttachmentImportBatch.resolveLink() は { source: sourcePath, dest: <vault attachment folder>/<key>-<filename> } をキューイングし、attachment.import 設定（デフォルトは true、apps/obsidian/src/services/settings/schema.ts:123）によってのみ制御されます。
apps/obsidian/src/lib/copy-attachments.ts:43-60 — copyAttachment() はパス検証なしで実際の読み取り+書き込みを実行します: stat(source) の後に copyFile(source, dest)。

研究者	Dostxodjayev Abdullox (@squeeze440)
アドバイザリ	GHSA-4qh7-66xv-h329
CVSS 3.1	5.5 (Medium)
脆弱性	CWE-73, CWE-200

zotlit-PoC

人気

ZotLit: セキュリティアドバイザリ