JVNDB-2026-027718

Apache Software FoundationのApache Tikaにおけるパストラバーサルの脆弱性

Apache Software Foundation の Apache Tika 1.8 から 3.3.1、および 4.0.0-alpha-1 にある ISA-Tab パーサーの相対パストラバーサルにより、攻撃者がアプリケーションが後で解析するディレクトリにファイルを配置できる場合、Tika プロセスはアクセス可能な任意のファイルを読み取り、その内容を抽出テキスト出力に表示させることが可能です。これは、ISA-Tab 調査ファイル内の「Study Assay File Name」の値がデータセットディレクトリの外にトラバーサルすることで実現されます。ユーザーはこの問題を修正したバージョン 3.3.2 または 4.0.0-beta-1 へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Tika 1.8 以上 3.3.2 未満
• Apache Tika 4.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-66755: Apache Tika: Arbitrary Local File Read in ISArchiveParser-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-66755: Apache Tika: Arbitrary Local File Read in ISArchiveParser

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-66755

1. National Vulnerability Database (NVD) : CVE-2026-66755

• [2026年08月12日]
    掲載