JVNDB-2026-005152

rollupjsのrollupにおけるパストラバーサルの脆弱性

RollupはJavaScript用のモジュールバンドラーです。Rollupモジュールバンドラーのバージョン2.80.0以前、3.30.0以前、および4.59.0以前（特にv4.xで現在のソースコードに存在）は、パストラバーサルによる任意ファイル書き込みの脆弱性を含んでいます。コアエンジンでファイル名のサニタイズが不十分であったため、攻撃者は出力ファイル名を制御（CLIの名前付き入力、マニュアルチャンクの別名、または悪意のあるプラグイン経由など）し、トラバーサルシーケンス（`../`）を使用して、ビルドプロセスがアクセス権を持つホストファイルシステム上の任意のファイルを上書きできます。これによって重要なシステムまたはユーザー設定ファイルを上書きし、永続的なリモートコード実行（RCE）を引き起こす可能性があります。この問題はバージョン2.80.0、3.30.0、および4.59.0で修正されています。

rollupjs

• rollup 2.80.0 未満
• rollup 3.0.0 以上 3.30.0 未満
• rollup 4.0.0 以上 4.59.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Arbitrary File Write via Path Traversal in Rollup 4  Advisory  rollup/rollup  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-27606

1. National Vulnerability Database (NVD) : CVE-2026-27606
2. 関連文書 : Validate bundle stays within output dir (#6276)  rollup/rollup@c8cf1f9  GitHub
3. 関連文書 : Release v3.30.0  rollup/rollup  GitHub
4. 関連文書 : Validate bundle stays within output dir (#6277)  rollup/rollup@d6dee5e  GitHub
5. 関連文書 : Release v2.80.0  rollup/rollup  GitHub
6. 関連文書 : Validate bundle stays within output dir (#6275)  rollup/rollup@c60770d  GitHub
7. 関連文書 : Release v4.59.0  rollup/rollup  GitHub

• [2026年02月27日]
    掲載