phpTransformer 2016.9 jQueryFileUpload を介したディレクトリトラバーサル

この脆弱性は、認証されていない攻撃者がphpTransformerのjQueryFileUploadmasterサーバーエンドポイントを介して、システム上の任意のファイルにアクセスすることを可能にします。攻撃者は、../のようなトラバーサルシーケンスをパスパラメータに含めることで、Webサーバーのルートディレクトリや、機密情報を含む設定ファイルなど、意図しない場所にアクセスできます。これにより、機密情報の漏洩、システム設定の改ざん、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。この攻撃手法は、ファイル共有機能を持つWebアプリケーションにおいて、特に危険です。

Web applications utilizing phpTransformer versions 2016.9 through 2016.9 are at risk. This includes applications that rely on phpTransformer for image processing or other file manipulation tasks. Shared hosting environments where multiple users share the same server are particularly vulnerable, as a compromise of one application could potentially expose files belonging to other users.

• php: Examine access logs for requests containing traversal sequences like '../' in the path parameter.

grep '../' /var/log/apache2/access.log

• php: Check for unusual file access patterns in server logs.

journalctl -u apache2 | grep -i "file not found"

• generic web: Use curl to test the jQueryFileUploadmaster endpoint with various traversal sequences.

curl 'http://your-server/jqueryFileUploadmaster?path=../../../../../../etc/passwd'

1. 2026-03-21Disclosure

   disclosure

1. 予約済み2026-03-21
2. 公開日2026-03-21
3. 更新日2026-03-24
4. EPSS 更新日2026-03-29

修正パッチがリリースされていないため、一時的な緩和策として、jQueryFileUploadmasterサーバーエンドポイントへのアクセスを制限するWAFルールを実装することを推奨します。また、ファイルアップロード機能を使用する際に、アップロードされるファイルのパスを厳密に検証し、不正なパスが使用されないようにする必要があります。ファイルアップロードディレクトリのパーミッションを適切に設定し、Webサーバープロセスがアクセスできる範囲を制限することも有効です。さらに、ファイルアップロード機能のログを監視し、不審なアクセスがないか定期的に確認することが重要です。