Jellysweep は github.com/jon4hz/jellysweep の画像キャッシュ API エンドポイントで制御されていないデータを利用しています

この脆弱性を悪用されると、攻撃者は画像キャッシュAPIエンドポイントを通じて、サーバー上の機密情報にアクセスできる可能性があります。具体的には、キャッシュされた画像データや関連するメタデータが漏洩する可能性があります。攻撃者は、この情報を利用して、さらなる攻撃を仕掛けたり、機密情報を盗み出したりする可能性があります。この脆弱性は、特に画像処理やキャッシュ機能を多用する環境において、深刻な影響を及ぼす可能性があります。

Organizations that rely on jellysweep for image processing or caching are at risk. This includes developers and system administrators who manage jellysweep deployments. Environments where jellysweep is exposed to untrusted external networks are particularly vulnerable.

• go / server: Monitor application logs for unusual API requests related to image caching. Look for requests with excessively large payloads or unexpected data types.

journalctl -u jellysweep -f | grep "image cache API" 

• generic web: Use curl to test the image cache API endpoint with various payloads, including very large files or malformed data, to observe any abnormal behavior or resource consumption.

curl -F "image=@large_file.jpg" http://<jellysweep_server>/image_cache_api

1. 2025-11-17Disclosure

   disclosure

1. 予約済み2025-10-28
2. 公開日2025-11-17
3. 更新日2026-03-03
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、github.com/jon4hz/jellysweepをバージョン0.13.0にアップデートすることを推奨します。アップデートが困難な場合は、画像キャッシュAPIエンドポイントへのアクセスを制限するWAFルールやプロキシ設定を検討してください。また、入力データの検証を強化し、不正なデータがキャッシュされるのを防ぐための対策を講じることが重要です。アップデート後、正常に機能することを確認してください。