製品・ソフトウェアに関する情報
Vulnerability Search
The Go ProjectのGoにおけるパストラバーサルの脆弱性
Title The Go ProjectのGoにおけるパストラバーサルの脆弱性
Summary

Unixプラットフォームにおいて、File.ReadDirまたはFile.Readdirを使用してディレクトリの内容を一覧表示する際に、返されるFileInfoがファイルを開いたルートの外部にあるファイルを参照する可能性があります。このエスケープの影響は、ルート外のファイルの読み書きを許可せず、ファイルシステム上の任意の場所からlstatによって提供されるメタデータを読み取ることに限定されています。

Possible impacts 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date March 6, 2026, midnight
Registration Date April 23, 2026, 10:14 a.m.
Last Update April 23, 2026, 10:14 a.m.
CVSS3.0 : 低
Score 2.5
Vector CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
Affected System
The Go Project
Go 1.25.8 未満
Go 1.26.0
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年04月23日]
  掲載		 April 23, 2026, 10:14 a.m.
NVD Vulnerability Information
CVE-2026-27139
Summary

On Unix platforms, when listing the contents of a directory using File.ReadDir or File.Readdir the returned FileInfo could reference a file outside of the Root in which the File was opened. The impact of this escape is limited to reading metadata provided by lstat from arbitrary locations on the filesystem without permitting reading or writing files outside the root.

Summary

En plataformas Unix, al listar el contenido de un directorio usando File.ReadDir o File.Readdir, el FileInfo devuelto podría hacer referencia a un archivo fuera de la Raíz en la que se abrió el Archivo. El impacto de este escape se limita a la lectura de metadatos proporcionados por lstat desde ubicaciones arbitrarias en el sistema de archivos sin permitir la lectura o escritura de archivos fuera de la raíz.

Publication Date March 7, 2026, 7:16 a.m.
Registration Date April 27, 2026, 12:15 p.m.
Last Update April 21, 2026, 11:32 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:golang:go:*:*:*:*:*:*:*:* 1.25.8
cpe:2.3:a:golang:go:1.26.0:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List