JVNDB-2026-006707

Julien Voisin (jvoisin)のSnuffleupagusにおける安全でない失敗処理に関する脆弱性

Snuffleupagusは、バグクラスを排除し、仮想パッチングシステムを提供することで、ウェブサイトへの攻撃コストを引き上げるモジュールです。バージョン0.13.0より前のSnuffleupagusを展開した環境において、デフォルトでないアップロード検証機能が有効で、Vulcan Logic Disassembler（VLD）に基づく上流の検証スクリプトのいずれかを使用するように設定されており、かつVLD拡張がCLI SAPIで利用できない場合、マルチパートPOSTリクエストのすべてのファイルがPHPコードとして評価されてしまう問題がありました。この問題はバージョン0.13.0で修正されました。

Julien Voisin (jvoisin)

• Snuffleupagus 0.13.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RCE on instances with upload validation enabled but without the VLD package  Advisory  jvoisin/snuffleupagus  GitHub

1. 安全でない失敗処理(CWE-636) [その他]

1. CVE-2026-22034

1. National Vulnerability Database (NVD) : CVE-2026-22034
2. 関連文書 : snuffleupagus/scripts/upload_validation.php at v0.12.0  jvoisin/snuffleupagus  GitHub
3. 関連文書 : php-src/ext/standard/dl.c at e4098da58a9eaee759d728d98a27d809cde37671  php/php-src  GitHub
4. 関連文書 : snuffleupagus/scripts/upload_validation.py at v0.12.0  jvoisin/snuffleupagus  GitHub
5. 関連文書 : Fix possible arbitrary code execution on misconfigured deployments  jvoisin/snuffleupagus@9278dc7  GitHub
6. 関連文書 : snuffleupagus/src/sp_upload_validation.c at 9278dc77bab2a219e770a1b31dd6797bc9070e37  jvoisin/snuffleupagus  GitHub
7. 関連文書 : php-src/main/rfc1867.c at e4098da58a9eaee759d728d98a27d809cde37671  php/php-src  GitHub
8. 関連文書 : Configuration ― Snuffleupagus stable documentation

• [2026年03月11日]
    掲載