github.com/alist-org/alistにおける複数のファイル操作ハンドラにPath Traversalの脆弱性があります

このパス・トラバーサル脆弱性は、攻撃者がalistのファイル操作ハンドラを悪用することで、本来アクセスできないファイルシステム上のファイルにアクセスすることを可能にします。攻撃者は、設定ファイル、データベースファイル、またはユーザーがアップロードした機密データを含むファイルにアクセスする可能性があります。これにより、情報漏洩、システム改ざん、さらにはシステム全体の制御奪取につながる可能性があります。攻撃者は、この脆弱性を利用して、Webサーバーのルートディレクトリにアクセスし、機密情報を盗み出す可能性があります。

Organizations and individuals using alist for file sharing and storage are at risk, particularly those running older versions prior to 3.57.0. Shared hosting environments where multiple users share the same alist instance are especially vulnerable, as a compromise of one user's account could potentially lead to access to other users' data.

• linux / server:

find /opt/alist -name '*alist*' -type f -exec grep -i '../' {} + # Search for '..' in alist files

• generic web:

curl -I 'http://your-alist-instance/../../../../etc/passwd' # Attempt to access sensitive files

• linux / server:

journalctl -u alist -f | grep -i 'path traversal' # Monitor alist logs for path traversal attempts

1. 2026-02-05Disclosure

   disclosure

1. 予約済み2026-01-29
2. 公開日2026-02-05
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずgithub.com/alist-org/alistをバージョン3.57.0にアップグレードすることを強く推奨します。アップグレードが直ちに実行できない場合は、ファイルアクセスを制限するWAF（Web Application Firewall）ルールを実装し、不正なファイルパスへのアクセスをブロックすることを検討してください。また、ファイル操作に関連する入力の検証を強化し、パス・トラバーサル攻撃を防ぐための対策を講じることが重要です。アップグレード後、ファイル操作のテストを実施し、脆弱性が修正されていることを確認してください。