JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024636 zrokはウェブサービス、ファイル、およびネットワークリソースを共有するためのソフトウェアです。バージョン0.4.23から2.0.3までの間、`zrok2 copy`は攻撃者が制御するWebDAVまたはzrokドライブのパス（例えば /../outside.txt）をソースインベントリに保存し、それをFilesystemTarget.WriteStreamに渡していました。これにより、同期パイプラインが選択されたローカルファイルシステムのルート外にファイルを作成できる状態となっていました。この問題はバージョン2.0.3で修正されています。 cpe:/a:netfoundry:zrok https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024636.html Common Vulnerabilities and Exposures (CVE) CVE-2026-45576 https://www.cve.org/CVERecord?id=CVE-2026-45576 National Vulnerability Database (NVD) CVE-2026-45576 https://nvd.nist.gov/vuln/detail/CVE-2026-45576 GitHub zrok copy writes attacker-controlled WebDAV paths outside the destination root Advisory openziti/zrok GitHub https://github.com/openziti/zrok/security/advisories/GHSA-c656-jcx2-7pqj JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 関連文書 Release v2.0.3 openziti/zrok GitHub https://github.com/openziti/zrok/releases/tag/v2.0.3 関連文書 zrok2 copy security fixes openziti/zrok@a5811e6 GitHub https://github.com/openziti/zrok/commit/a5811e61589d2f804267c6de4a9056db1bdea457 2026-07-22T10:19:54+09:00 2026-07-22T10:19:54+09:00