JVNDB-2026-005718

Sz-Adminのsz-boot-parentにおける複数の脆弱性

feiyuchuixue sz-boot-parent 1.3.2-beta までに脆弱性が確認されました。この問題の影響を受けるのは、コンポーネントAPIエンドポイントの /api/admin/sys-file/upload にあるファイルの未知の機能です。この操作により、無制限のアップロードが可能になります。攻撃はリモートで実行される可能性があります。該当のエクスプロイトは公開されており、悪用される恐れがあります。本問題はバージョン1.3.3-betaにアップグレードすることで解決します。パッチ名は aefaabfd7527188bfba3c8c9eee17c316d094802 です。影響を受けるコンポーネントのアップグレードを推奨します。プロジェクト側は事前に通報され、非常に専門的に対応しました。具体的には、 /api/admin/sys-file/upload エンドポイントに対し oss.allowedExts および oss.allowedMimeTypes 設定オプションを通じてホワイトリスト制限を導入し、アップロード可能なファイル拡張子およびMIMEタイプを指定できるようにしました。

Sz-Admin

• sz-boot-parent 0.9.0 およびそれ以前
• sz-boot-parent 1.0.0
• sz-boot-parent 1.0.1
• sz-boot-parent 1.0.2
• sz-boot-parent 1.1.0
• sz-boot-parent 1.2.0
• sz-boot-parent 1.2.1
• sz-boot-parent 1.2.2
• sz-boot-parent 1.2.3
• sz-boot-parent 1.2.4
• sz-boot-parent 1.2.5
• sz-boot-parent 1.2.6
• sz-boot-parent 1.3.0
• sz-boot-parent 1.3.1
• sz-boot-parent 1.3.2

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• Code : CVE/sz-boot-parent-Arbitrary_File_Upload.md at main  yuccun/CVE  GitHub

Vulnerability Database

• VulDB : CVE-2026-3187 feiyuchuixue sz-boot-parent API Endpoint upload unrestricted upload
• VulDB : Submit #754038: feiyuchuixue https://github.com/feiyuchuixue/sz-boot-parent sz-boot-parent <= v1.3.2-beta Arbitrary File Upload

1. 不適切なアクセス制御(CWE-284) [その他]
2. 危険なタイプのファイルの無制限アップロード(CWE-434) [NVD評価]
3. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2026-3187

1. National Vulnerability Database (NVD) : CVE-2026-3187
2. 関連文書 : 修：文件上接口加后和 MIME 型白名；模板下接口校路径合法性，非法路径返回提示，防止路径穿越；文件下接口允 …  feiyuchuixue/sz-boot-parent@aefaabf  GitHub
3. 関連文書 : Release v1.3.3-beta  feiyuchuixue/sz-boot-parent  GitHub
4. 関連文書 : GitHub - feiyuchuixue/sz-boot-parent: Sz-Admin：一个源RBAC中后台框架，代用。它合了最新的技，包括后端的Spring Boot 3、JDK 21、Mybatis Flex、Sa-Token、Knife4j和Flyway，以及前端的Vue 3、Vite5、TypeScript和Element Plus，致力于提供一个直、流且功能大的体

• [2026年03月02日]
    掲載