毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.11.10 の号
この日の一言2026.11.10

OpenAPI 定義から FastAPI のコードを生成する fastapi-code-generator に、細工した定義から生成したアプリでコードが実行される重大な脆弱性が3件公開されました。外部から受け取った OpenAPI 定義で生成している場合は 0.8.1 へ更新し、生成済みのコードも作り直してください。

11.10火曜日の朝
  1. Python細工した OpenAPI 定義から生成したアプリで、任意のコードが実行される
  2. JavaScript悪意あるリポジトリの checkout で、作業ツリーの外にファイルを書き込まれる
  3. JavaZips の fluent API で ZIP を展開すると、展開先の外にファイルを書き込まれる（パストラバーサル）
  4. Goclient credentials で、任意の宛先（aud）のアクセストークンを発行できる
この号の脆弱性　全4件
Python2026.11.10重大

細工した OpenAPI 定義から生成したアプリで、任意のコードが実行される

fastapi-code-generator　0.8.1 より前　→　0.8.1

やること　0.8.1 以降へ更新し、外部や第三者から受け取った OpenAPI 定義で生成したコードは、更新後のバージョンで生成し直してください。すぐに更新できない場合は、信頼できない定義からの生成を止め、生成済みの main.py に不審な文字列連結や式が含まれていないか確認してください。

GHSA-p2mm-64f6-gmpp・CVE-2026-63471・GHSA-6xmv-cjr5-w3q8・CVE-2026-63469・GHSA-h667-4jj2-cgv4・CVE-2026-63470読む
JavaScript2026.11.10高

悪意あるリポジトリの checkout で、作業ツリーの外にファイルを書き込まれる

isomorphic-git　1.38.5 以前　→　1.38.6

やること　1.38.6 以降へ更新してください。勧告によれば、Windows の Node fs ではシンボリックリンク作成が通常失敗するため既定では悪用しにくく、ブラウザやメモリ上の fs では影響が仮想ファイルシステム内に限られます。

GHSA-9qw7-j9xw-fv9c・CVE-2026-63395読む
Java2026.11.10高

Zips の fluent API で ZIP を展開すると、展開先の外にファイルを書き込まれる（パストラバーサル）

org.zeroturnaround:zt-zip　1.18.0 より前　→　1.18.0

やること　1.18.0 以降へ更新してください。すぐに更新できない場合は、信頼できない ZIP の展開に Zips の fluent API を使わず、展開先の外へ出るエントリを拒否する ZipUtil.unpack を使ってください。

GHSA-52c6-99qm-3hqr・CVE-2026-63436読む
Go2026.11.10高

client credentials で、任意の宛先（aud）のアクセストークンを発行できる

github.com/pocket-id/pocket-id/backend　0.0.0-20260622164202-8158452b3730 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260622164202-8158452b3730

やること　Go モジュールとして使っている場合は 0.0.0-20260622164202-8158452b3730 以降へ更新し、Pocket ID サーバーは修正を含むリリースへ更新してください。

GHSA-q4xm-p75h-h9p3・CVE-2026-62662読む