注目★★★★★GitHub Advisory
File Browser、シェルメタ文字でコマンド許可リストをバイパスできる脆弱性(CVE-2026-54090)
30秒で把握
- 1CVE-2026-54090：File Browserでシェルメタ文字によるコマンド許可リストバイパス
- 2v2.33.8以降はデフォルト無効・悪用には管理者による機能の明示的な有効化が必要
- 3CVE-2025-52995・CVE-2025-52903とは別問題・既存修正では防御不可
要約
File Browserにシェルメタ文字インジェクションによるコマンド実行許可リストバイパスの脆弱性(CVE-2026-54090)が開示された。シェルインタープリタ設定時、許可リストは入力の最初のトークンのみを検証するが、セミコロン・パイプ・バッククォート・`$()`を使うことで任意のコマンドを連結実行できる。ただしv2.33.8以降では当該機能がデフォルト無効化されており、悪用には管理者が既知の脆弱性警告を無視して機能を有効化する必要がある。本脆弱性はCVE-2025-52995およびCVE-2025-52903とは独立した問題であり、既存の`slices.Contains`修正では防げない。
あなたへの影響
File Browserをシェルインタープリタ有効で運用しているチームは、v2.33.8以上へのアップグレードと機能の無効化を確認すること。
推奨：影響を受けるのはコマンド実行機能を意図的に有効化した環境のみのため、デフォルト設定のままであれば現時点でのアクションは不要。