JVNDB-2026-006719

OWASPのdefectdojoにおける複数の脆弱性

OWASP DefectDojo バージョン2.55.4までにセキュリティ脆弱性が検出されました。この脆弱性は、SonarQubeParser/MSDefenderParserコンポーネントのparser.pyファイル内のinput_zip.read関数に影響を及ぼします。この操作によりサービス拒否が引き起こされます。攻撃はリモートから行うことが可能です。脆弱性の悪用方法は公開されており、実際に使用される可能性があります。バージョン2.56.0へのアップグレードによって、この問題は解決されます。パッチ識別子はe8f1e5131535b8fd80a7b1b3085d676295fdcd41です。影響を受けるコンポーネントのアップグレードを推奨します。

OWASP

• defectdojo 2.56.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : cve-bug-bounty/dfdj_zip_bomb_dos_oom/dfdj_zip_bomb_dos_oom.md at main  henrrrychau/cve-bug-bounty  GitHub (dfdj_zip_bomb_dos_oom.md)
• GitHub : cve-bug-bounty/dfdj_zip_bomb_dos_oom/dfdj_zip_bomb_dos_oom.md at main  henrrrychau/cve-bug-bounty  GitHub (dfdj_zip_bomb_dos_oom.md#supporting-materialreferences)

Vulnerability Database

• VulDB : CVE-2026-3816 OWASP DefectDojo SonarQubeParser/MSDefenderParser parser.py input_zip.read denial of service (EUVD-2026-10325)
• VulDB : Submit #769524: OWASP DefectDojo <= 2.55.4 Denial of Service

1. 入力で指定された数量の不適切な検証(CWE-1284) [NVD評価]
2. リソースの不適切なシャットダウンおよびリリース(CWE-404) [その他]

1. CVE-2026-3816

1. National Vulnerability Database (NVD) : CVE-2026-3816
2. 関連文書 : Refactor zip handling with safe_open_zip and safe_read_all_zip by Maffooch  Pull Request #14408  DefectDojo/django-DefectDojo  GitHub
3. 関連文書 : Release 2.56.0   DefectDojo/django-DefectDojo  GitHub
4. 関連文書 : Merge pull request #14408 from DefectDojo/zip-handling-consolidation  DefectDojo/django-DefectDojo@e8f1e51  GitHub

• [2026年03月12日]
    掲載