注目★★★★★GitHub Advisory
Anyquery 0.4.4 にパストラバーサル脆弱性 任意ディレクトリ削除が可能
30秒で把握
- 1Anyquery 0.4.4 に CVE-2026-47253・任意ディレクトリ削除の High 脆弱性
- 2clear_plugin_cache の .. 未検証で os.RemoveAll が外部パスに到達
- 3低権限トークンで /v1/query に SQL 送信するだけで悪用可能
要約
Anyquery 0.4.4 の SQL スカラー関数 `clear_plugin_cache` にパストラバーサル脆弱性 (CVE-2026-47253) が確認された。`plugin` 引数が `path.Join` を経て `os.RemoveAll` に渡される際、`..` セグメントが解決されるため、低権限のトークン保有者が `/v1/query` エンドポイントに細工したクエリを送信するだけでキャッシュ外の任意ディレクトリを削除できる。空文字チェックのみがガードとして存在するが、パストラバーサルを防ぐ検証は行われていない。実証済みの攻撃シナリオでは `$XDG_CACHE_HOME/anyquery/plugins/` 外のディレクトリ削除が確認された。
あなたへの影響
Anyquery を API 経由で公開しているチームは、バージョンを確認し修正版へのアップデートまたは `/v1/query` エンドポイントへのアクセス制限を検討すること。
推奨：パストラバーサル (CWE-22) の典型的な実装ミスのため、同様のパス結合処理が他箇所にないかコードレビューも合わせて実施するとよい。