HomeGallery: パス・トラバーサル (任意のファイル読み込み)

この脆弱性を悪用されると、攻撃者はHomeGalleryサーバー上の機密性の高いシステムファイルにアクセスし、ダウンロードすることが可能です。これには、設定ファイル、ソースコード、またはその他の機密データが含まれる可能性があります。攻撃者は、この情報を利用して、サーバーをさらに侵害したり、機密情報を盗み出したりする可能性があります。この脆弱性は、特にHomeGalleryをインターネットに公開している環境において、重大なリスクをもたらします。攻撃者は、ファイル名に「..」のようなパストラバーサルシーケンスを使用することで、意図しないファイルにアクセスできます。

Organizations and individuals using self-hosted instances of HomeGallery, particularly those with legacy configurations or inadequate file permission settings, are at risk. Shared hosting environments where multiple users share the same server are also potentially vulnerable if HomeGallery is installed.

1. 2026-03-06Disclosure

   disclosure

1. 予約済み2026-03-02
2. 公開日2026-03-06
3. EPSS 更新日2026-03-23

この脆弱性への最良の対応策は、HomeGalleryをバージョン1.21.0以降にアップデートすることです。アップデートがすぐに利用できない場合、Webサーバーの設定で、HomeGalleryのメディアディレクトリへのアクセスを制限することを検討してください。また、WAF（Web Application Firewall）を導入し、パストラバーサル攻撃を検知・ブロックするルールを設定することも有効です。アクセスログを監視し、不審なファイルアクセスを検出することも重要です。アップデート後、ファイルダウンロード機能が正常に動作することを確認してください。