プラットフォーム
php
コンポーネント
clipbucket-v5
修正版
5.5.2
CVE-2025-21622は、ClipBucket V5のユーザーアバター削除機能におけるパス・トラバーサル脆弱性です。攻撃者は、悪意のあるURLを介して、ClipBucketのインストールディレクトリ外のファイルを削除できる可能性があります。この脆弱性はClipBucket V5.5.1以前のバージョンに影響を与え、バージョン5.5.1 - 237へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はClipBucketのインストールディレクトリ外の任意のファイルを削除できるようになります。これにより、サーバー上の重要なシステムファイルや機密情報が失われる可能性があります。攻撃者は、Webサーバーの構成ファイルやデータベースファイルなどを削除することで、サーバーを完全に停止させたり、機密情報を窃取したりする可能性があります。パス・トラバーサル攻撃は、通常、Webアプリケーションの入力検証の不備が原因で発生します。ClipBucketのこの脆弱性は、ユーザーがアップロードするアバターURLの検証が不十分であったために発生しました。
CVE-2025-21622は、2025年1月7日に公開されました。現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、パス・トラバーサル攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。CISA KEVカタログへの登録状況は不明です。
ClipBucket installations, particularly those running older versions (5.5.1 and below), are at risk. Shared hosting environments where multiple users share the same ClipBucket instance are especially vulnerable, as a compromised user account could be used to exploit the vulnerability and impact other users. Legacy configurations with permissive file upload settings also increase the risk.
• linux / server:
find /var/www/clipbucket/avatars -type f -name '*..*' 2>/dev/null # Check for files with suspicious names• generic web:
curl -I 'http://your-clipbucket-site.com/avatars/../../../../etc/passwd' # Attempt path traversaldisclosure
エクスプロイト状況
EPSS
1.27% (79% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずClipBucketをバージョン5.5.1 - 237にアップデートすることを推奨します。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を使用して、悪意のあるパス・トラバーサル攻撃をブロックすることができます。また、アバターURLの検証を強化し、許可されたディレクトリ外へのアクセスを制限する構成変更を行うことも有効です。ファイルシステムのアクセス権限を適切に設定し、ClipBucketプロセスがアクセスできるファイルを制限することも重要です。
Actualice ClipBucket a la versión 5.5.1 - 237 o superior. Esta versión corrige la vulnerabilidad de path traversal en la función de eliminación de avatares. La actualización evitará la eliminación de archivos fuera del directorio de avatares.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-21622は、ClipBucket V5.5.1以前のバージョンにおける、ユーザーがアバター削除時に悪意のあるURLを介してファイルを削除できる脆弱性です。
ClipBucket V5.5.1以前のバージョンを使用している場合は、この脆弱性の影響を受けます。バージョン5.5.1 - 237へのアップデートが必要です。
ClipBucketをバージョン5.5.1 - 237にアップデートしてください。アップデートが難しい場合は、WAFによる保護や、アバターURLの検証強化を検討してください。
現時点では公開PoCは確認されていませんが、パス・トラバーサル攻撃は一般的な攻撃手法であり、悪用される可能性は否定できません。
ClipBucketの公式アドバイザリは、通常、ClipBucketのウェブサイトまたはセキュリティ関連のフォーラムで公開されます。