JVNDB-2026-014891

Vaadin Ltd.のVaadinにおけるパストラバーサルの脆弱性

Vaadinのバージョン14.2.0から14.14.0、15.0.0から23.6.6、24.0.0から24.9.8、および25.0.0から25.0.2までにおいて、Node.jsのダウンロードおよび解凍時に、特別に細工されたZIPアーカイブが意図された解凍ディレクトリから逸脱する可能性があります。Vaadinのビルドプロセスは、ローカルにNode.jsがインストールされていない場合に自動的にNode.jsをダウンロードおよび解凍します。攻撃者がDNSハイジャック、中間者攻撃（MITM）、ミラーサイトの改ざん、またはサプライチェーン攻撃を介してこのダウンロードを傍受または制御できる場合、パス・トラバーサルのシーケンスを含む悪意のあるアーカイブを提供し、意図された解凍ディレクトリ外にファイルを書き込むことが可能です。影響を受けるバージョンのユーザーは、Vaadinのバージョンに互換性のあるグローバルに事前インストールされたNode.jsバージョンを使用するか、次のようにアップグレードしてください。14.2.0から14.14.0は14.14.1へ、15.0.0から23.6.6は23.6.7へ、24.0.0から24.9.8は24.9.9へ、25.0.0から25.0.2は25.0.3以降のバージョンへアップデートしてください。なお、Vaadinのバージョン10から13および15から22はもはやサポートされていないため、最新の14、23、24、25のいずれかのバージョンに更新することを推奨します。

Vaadin Ltd.

• Vaadin 14.2.0 以上 14.14.1 未満
• Vaadin 15.0.0 以上 23.6.7 未満
• Vaadin 24.0.0 以上 24.9.10 未満
• Vaadin 25.0.0 以上 25.0.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Vaadin Ltd.

• Vaadin : CVE-2026-2741: Zip Slip Path Traversal on Node Unpack

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-2741

1. National Vulnerability Database (NVD) : CVE-2026-2741
2. 関連文書 : fix: zip file extractor (#23125) (CP: 25.0) by vaadin-bot  Pull Request #23130  vaadin/flow  GitHub
3. 関連文書 : fix: zip file extractor (#23125) (CP: 23.6) by vaadin-bot  Pull Request #23135  vaadin/flow  GitHub
4. 関連文書 : fix: zip file extractor (#23125) (CP: 2.13) by vaadin-bot  Pull Request #23131  vaadin/flow  GitHub
5. 関連文書 : fix: zip file extractor (#23125) (CP: 24.9) by vaadin-bot  Pull Request #23133  vaadin/flow  GitHub
6. 関連文書 : fix: zip file extractor by caalador  Pull Request #23125  vaadin/flow  GitHub

• [2026年05月11日]
    掲載