注目★★★★★GitHub Advisory
File Browser: ZIPダウンロード機能にパストラバーサル脆弱性 CVE-2026-54093
30秒で把握
- 1CVE-2026-54093: File BrowserのZIP/TARでパストラバーサル確認
- 2Linuxサーバ上でバックスラッシュ名がそのままアーカイブに書き込まれる
- 3展開したWindowsユーザーが任意ディレクトリへのファイル書き込みを受ける
要約
File BrowserのZIP/TARダウンロード機能に、Windowsスタイルのバックスラッシュを含むファイル名を介してパストラバーサルが発生する脆弱性（CVE-2026-54093）が公開された。Linuxホスト上では`filepath.ToSlash`がバックスラッシュを変換しないため、`..\..\evil.txt`のような悪意あるファイル名がアーカイブにそのまま書き込まれる。Windowsの展開ツール（エクスプローラー・7-Zip・WinRAR等）はバックスラッシュをパス区切りと解釈するため、アーカイブを展開したWindowsユーザーの任意ディレクトリにファイルが書き出される。攻撃者がサーバ側に細工済みのファイルを配置できる環境で、ダウンロードしたユーザーがZIPを展開した際に被害が発生する。
あなたへの影響
File Browserを社内ファイル共有やNASのフロントエンドとして利用しているチームは、信頼できないユーザーがファイルをアップロードできる設定になっているかを確認し、修正バージョンへのアップデートまたは暫定措置としてダウンロード機能の無効化を検討すること。
推奨：被害はWindowsクライアントがZIP/TARを展開した場合に限定されるため、展開先の検証ツール（例: zip slip検査）の導入も有効。