プラットフォーム
nodejs
コンポーネント
@google/clasp
修正版
3.2.1
3.2.0
CVE-2026-4092は、@google/claspにおけるPath Traversal脆弱性です。この脆弱性を悪用されると、攻撃者はプロジェクトディレクトリ外のファイルを変更し、開発者のマシン上で悪意のあるコードを実行する可能性があります。影響を受けるバージョンは3.2.0より前のバージョンです。2026年3月13日に公開され、バージョン3.2.0で修正されました。
このPath Traversal脆弱性は、攻撃者がプロジェクトのディレクトリ構造を迂回し、意図しないファイルにアクセスしたり、変更したりすることを可能にします。具体的には、攻撃者はpullやcloneコマンドを通じて、プロジェクトディレクトリ外のファイルを書き換えることができ、その結果、悪意のあるスクリプトを挿入したり、既存のファイルを改ざんしたりする可能性があります。これにより、開発者のマシン上で攻撃者のコードが実行される危険性があります。この脆弱性は、特に信頼できないソースからスクリプトをクローンまたはプルする場合に深刻な脅威となります。
CVE-2026-4092は、2026年3月13日に公開されました。現時点では、この脆弱性に対する公開されているPoCは確認されていません。CISA KEVカタログへの登録状況は不明です。攻撃の可能性は、信頼できないソースからのスクリプトの取り扱いによって左右されます。
Developers using @google/clasp to develop Google Apps Script projects are at risk, particularly those who frequently clone or pull scripts from external sources or use older, unpatched versions of the library. Shared hosting environments where multiple developers use the same @google/clasp installation are also at increased risk.
• nodejs / clasp:
find / -name clasp.cmd -o -name clasp.sh -print0 | xargs -0 grep -i 'pull|clone' • nodejs / clasp: Check for unusual files or modifications within the Google Apps Script project directories after a pull or clone operation.
• nodejs / clasp: Review the output of npm audit for vulnerabilities in dependencies used by the project.
disclosure
エクスプロイト状況
EPSS
1.03% (77% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、まず@google/claspをバージョン3.2.0以降にアップデートすることを推奨します。アップデートが困難な場合は、信頼できるソースからのスクリプトのクローンまたはプルのみを許可するように制限してください。また、pullおよびcloneコマンドの出力を注意深く確認し、予期しないファイルが変更されていないことを確認することが重要です。WAFやプロキシルールによる対策は、この脆弱性に対して直接的な効果は期待できません。
Claspをバージョン3.2.0以降にアップデートしてください。このバージョンでは、リモートコード実行を可能にするPath Traversalの脆弱性が修正されています。`npm install -g @google/clasp`コマンドを使用して、パッケージマネージャnpmでClaspをアップデートできます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-4092は、@google/claspにおいて、攻撃者がプロジェクトディレクトリ外のファイルを変更できるPath Traversal脆弱性です。
はい、影響を受けます。バージョン3.2.0より前の@google/claspを使用している場合、攻撃者は悪意のあるコードを実行できる可能性があります。
@google/claspをバージョン3.2.0以降にアップデートしてください。アップデートが難しい場合は、信頼できるソースからのスクリプトの取り扱いを制限してください。
現時点では、積極的に悪用されているという報告はありません。
公式アドバイザリは、@google/claspのリリースノートまたはGoogleのセキュリティアナウンスメントで確認してください。