JVNDB-2026-002536

Pallets projectのWerkzeugにおけるWindows デバイス名の処理に関する脆弱性

Werkzeugは包括的なWSGIウェブアプリケーションライブラリです。バージョン3.1.5以前のWerkzeugのsafe_join関数は、ファイル拡張子や末尾にスペースがあるWindowsのデバイス名を含むパスセグメントを許可していました。WindowsにはCONやAUXなどの特別なデバイス名が存在し、これらはすべてのディレクトリ内で暗黙的に存在し読み取り可能です。Windowsはこれらのデバイス名に対して、CON.txtのような任意のファイル拡張子や末尾にスペースがあるCONのような名前も受け入れます。この問題はバージョン3.1.5で修正されました。

Pallets project

• Werkzeug 3.1.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Werkzeug safe_join() allows Windows special device names  Advisory  pallets/werkzeug  GitHub

1. Windows デバイス名の不適切な処理(CWE-67) [その他]

1. CVE-2026-21860

1. National Vulnerability Database (NVD) : CVE-2026-21860
2. 関連文書 : Merge commit from fork  pallets/werkzeug@7ae1d25  GitHub

• [2026年02月04日]
    掲載