毎朝 7:00 更新メールで受け取る
security トップ　／　2026.11.07 の号　／　Python
052026.11.07 の号　全5件
Python2026.11.07高

レイヤー名を細工したファイルのアップロードで、サーバー上でコマンドを実行される

何が起きたか

地理空間データ管理基盤の GeoNode で、レイヤー名を細工したベクターファイルをアップロードすると、サーバー上で任意の OS コマンドが実行されます。

やること

5.1.0 以降へ更新してください。

出典

GitHub Advisory Databasegithub.com英語 ↗GeoNode のセキュリティ勧告github.com英語 ↗

上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。

同じ日の脆弱性
Go重大

細工したイメージのシンボリックリンクで、ホストのファイルを読み書きされる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン。exec-output の件は 0.0.0-20260626085134-124f90100640 より前、templates の件は 0.0.0-20260203144152-d1c8ba15d160 より前）　→　0.0.0-20260630083100-c5184be310b1
GHSA-vghh-5rfx-xhq801
Go重大

バックアップの圧縮方式の指定に引数を混ぜ込み、ホストに任意のファイルを書ける

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1
GHSA-fmc8-p6q7-75cc02
Go重大

悪意あるイメージサーバーのヘッダーで、パスをたどって任意のファイルを書かれる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1
GHSA-pjff-c2wc-f6jm03
Go重大

制限付きプロジェクトの制約を回避され、ホストでコマンド実行や他プロジェクトのデータ取得をされる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1
GHSA-47w9-6r3f-938g04