Gin-vue-admin に、github.com/flipped-aurora/gin-vue-admin におけるパス・トラバーサルにより、任意のファイルアップロードの脆弱性が存在します。

このパス・トラバーサル脆弱性は、攻撃者がファイルシステムの制限を回避し、通常アクセスできないファイルにアクセスすることを可能にします。攻撃者は、この脆弱性を悪用して、設定ファイル、ソースコード、データベースダンプなどの機密情報を盗む可能性があります。さらに、攻撃者は悪意のあるファイルをアップロードし、サーバー上でコードを実行したり、システムを制御したりする可能性があります。この脆弱性は、特に機密情報を扱うアプリケーションにおいて、重大なセキュリティリスクをもたらします。

Organizations using Gin-vue-admin in production environments, particularly those with sensitive data or critical applications, are at risk. Environments with weak file upload validation or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users have upload capabilities also face increased risk.

• go / server:

find /var/log/gin-vue-admin -type f -name '*.log' -print0 | xargs -0 grep -i 'file upload'

• generic web:

curl -I <target_url>/upload | grep 'Content-Type'

1. 2026-01-23Disclosure

   disclosure

1. 予約済み2026-01-09
2. 公開日2026-01-23
3. 更新日2026-03-03
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、gin-vue-adminをバージョン2.8.8にアップデートすることです。アップデートがすぐに利用できない場合、一時的な緩和策として、ファイルアップロード機能に対する入力検証を強化し、アップロードされるファイルの拡張子とサイズを制限することを検討してください。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・ブロックすることも有効です。ファイルシステムへのアクセス権限を最小限に抑え、不要なファイルへのアクセスを制限することも重要です。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。