Innoshop 0.4.1 以前のバージョンでは、FileManager API エンドポイントを通じてディレクトリトラバーサルが可能です。認証された攻撃者が管理パネルへのアクセス権を持っている場合、これを利用して (1) ファイルシステムの構造を完全にマッピングできます。

この脆弱性は、認証された攻撃者が InnoShop の管理パネルにアクセスできる場合に悪用されます。攻撃者は、ファイルマネージャ API の /api/filemanager/files?basefolder= エンドポイントを介してファイルシステム全体をマッピングしたり、/api/filemanager/directories エンドポイントを介して任意のディレクトリを作成したりできます。さらに、/api/filemanager/copyfiles エンドポイントを使用して、読み取り可能な場所にファイルをコピーすることで、任意のファイルを読み取ったり、DELETE リクエストを /api/filemanager/files に送信してファイルを削除したりすることが可能です。この脆弱性の悪用により、機密情報の漏洩、システムファイルの改ざん、さらにはサーバー全体の制御権の奪取につながる可能性があります。

Organizations using InnoShop for e-commerce or online store management are at risk, particularly those running versions 0 through 0.4.1. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromised admin account on one store could potentially be used to exploit this vulnerability on other stores.

• php: Examine web server access logs for requests to /api/filemanager endpoints containing ../ sequences in the basefolder or other parameters.

grep 'api/file_manager.*\/\/\/' /var/log/apache2/access.log

• php: Check for unusual file creations or deletions within the InnoShop application directory.

find /var/www/innoshop -type f -ctime -1

• generic web: Monitor for unexpected file reads or modifications within the InnoShop application directory. • generic web: Review the application's configuration files for any insecure file paths or permissions.

1. 2025-06-23Disclosure

   disclosure

1. 予約済み2025-06-21
2. 公開日2025-06-23
3. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、InnoShop をバージョン 0.4.2 へのアップデートです。アップデートが利用できない場合、WAF (Web Application Firewall) を使用して、/api/filemanager/files?basefolder= エンドポイントへの不正なリクエストをブロックすることを検討してください。また、ファイルマネージャ API へのアクセスを厳格に制限し、不要な機能の無効化も有効な対策となります。アップデート後、ファイルシステムへの不正アクセスがないか、ログを監視し、確認してください。