6.7.1
CVE-2025-9846 は、TalentSys Consulting の Inka.Net における制限のないファイルアップロードの脆弱性です。この脆弱性を悪用されると、攻撃者は任意のコマンドを実行し、システムを完全に制御する可能性があります。この問題は、バージョン 0 から 6.7.1 までの Inka.Net に影響を与えます。6.7.1 へのアップデートで脆弱性が修正されました。
この脆弱性は、攻撃者が悪意のあるファイルをアップロードし、サーバー上で任意のコマンドを実行することを可能にします。これにより、機密情報の窃取、システムの改ざん、さらには完全なシステム制御につながる可能性があります。攻撃者は、アップロードされたファイルをエントリポイントとして利用し、Web サーバーの設定やファイルシステムへのアクセスを試みる可能性があります。この脆弱性は、特に機密データを取り扱う環境において、重大なセキュリティリスクをもたらします。攻撃者は、この脆弱性を利用して、ネットワーク内の他のシステムへの攻撃の足がかりにすることも可能です。
CVE-2025-9846 は 2025年9月23日に公開されました。CVSSスコアは10（CRITICAL）であり、深刻度が高いと評価されています。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、公開されている脆弱性情報に基づき、攻撃者がこの脆弱性を悪用する可能性は否定できません。攻撃者は、公開されている情報を利用して、脆弱性を特定し、攻撃を試みる可能性があります。
エクスプロイト状況
EPSS
0.23% (46% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずInka.Net をバージョン 6.7.1 にアップデートすることを推奨します。アップデートがすぐに利用できない場合は、ファイルアップロード機能に対する厳格な入力検証を実装し、アップロードされるファイルのタイプとサイズを制限することで、攻撃のリスクを軽減できます。Web アプリケーションファイアウォール (WAF) を導入し、悪意のあるファイルアップロードを検出し、ブロックすることも有効です。また、ファイルアップロードディレクトリへのアクセス権を制限し、Web サーバーがファイルを実行できないように設定することも重要です。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。
Actualice Inka.Net a la versión 6.7.1 o superior. Esta actualización corrige la vulnerabilidad de carga de archivos sin restricciones. Consulte el registro de cambios de la versión 6.7.1 para obtener más detalles sobre la corrección.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-9846 は、TalentSys Consulting の Inka.Net における制限のないファイルアップロードの脆弱性で、コマンドインジェクションを許容します。
Inka.Net のバージョンが 0 から 6.7.1 の場合は、この脆弱性の影響を受けます。
Inka.Net をバージョン 6.7.1 にアップデートしてください。アップデートがすぐに利用できない場合は、入力検証や WAF の導入などの緩和策を検討してください。
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、攻撃の可能性は否定できません。
NVD (National Vulnerability Database) や CISA (Cybersecurity and Infrastructure Security Agency) のウェブサイトで詳細情報を確認できます。
packages.lock.json ファイルをアップロードすると、影響の有無を即座にお知らせします。