JVNDB-2026-007355

9001のcopypartyにおけるクロスサイトスクリプティングの脆弱性

Copypartyはポータブルファイルサーバーです。バージョン1.20.12以前では、攻撃者がサーバーに対して読み取りおよび書き込み権限の両方を持つ場合、.prologue.htmlというファイル名の悪意のあるファイルをアップロードし、被害者のコンテキストで任意のJavaScriptを実行する可能性があるリンクを作成できます。JavaScriptが実行されるのは、ターゲットがHTMLファイル自身（たとえば"https://example.com/foo/.prologue.html"）へのリンクをクリックした場合であることは意図された挙動です。本脆弱性は、"https://example.com/foo/?b"のようなURLでもファイルが評価されてしまう点にあり、これにより挙動が予期せぬものとなっています。既存の予防策（厳格なSameSiteクッキー）があり、この脆弱性を攻撃に利用するのは困難です。攻撃者がターゲットの認証セッションを制御するには、そのリンクをサーバー自身が配信するページからクリックさせる必要があります。これは既存リソースの編集など追加のアクセス権限が必要となる場合がほとんどです。最後に、この攻撃を成功させるためには、攻撃者が用意した特定の細工されたリンクをターゲットがクリックする必要があります。この脆弱性はサーバー上のWeb-UIを通常に閲覧するだけでは発動しません。本脆弱性はバージョン1.20.12で修正されています。

9001

• copyparty 1.20.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unexpected JavaScript execution via crafted URL to folder with `.prologue.html`  Advisory  9001/copyparty  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-32109

1. National Vulnerability Database (NVD) : CVE-2026-32109

• [2026年03月16日]
    掲載