Foxel に認証なしでファイルを読める欠陥（CVE-2026-121555）: CVSS 7.5、共有ストレージの中身が漏れる（2.4.0 以前・修正版の番号は未確認）

Foxel（自分で運用するファイル管理・共有のオープンソースソフト）に、ログインなしでファイルを丸ごと読める欠陥（CVE-2026-121555）が公表されました。ファイルの配信用の窓口 /api/fs/stream と、サムネイル用の /api/fs/thumb が認証を求めないため、攻撃者がマウント名（仮想ファイルシステムの接頭辞）と相対パスを指定すると、全マウントのファイルの中身やサムネイルを取得できます。管理者が PathRule（パスごとの権限設定）で閲覧を制限していても、この経路では迂回されます。NVD に載っている CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/C:H、評価元は VulnCheck）で、情報の漏えいのみの評価です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。修正は 2026-11-03 のコミットで入りましたが、取得時点で修正を含む公式リリースは確認できていません。

概要

項目	内容
問題	/api/fs/stream と /api/fs/thumb に認証・読み取り権限の確認がない（CWE-306）
攻撃条件	ネットワーク経由で、ログイン・利用者操作とも不要（PR:N / UI:N）。対象の Foxel に到達でき、マウント名と相対パスが分かればよい
影響	全マウントのファイルの中身とサムネイルの取得。PathRule による閲覧制限の迂回。機密性のみ高（完全性・可用性への影響は評価なし）
CVSS v3.1	7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元）
EPSS	取得時点（2026-11-04）では FIRST にデータなし
CISA KEV	載っていない（2026-11-04 時点）
対象	NVD の記載は「2.4.0 まで」（2.4.0 を含む）
修正	リポジトリのコミット 73d9fa8（2026-11-03）で、配信・サムネイルの両窓口に認証と読み取り権限の確認を追加。公式リリースの版番号は未確認

Foxel の仮想ファイルシステム（VFS）は、複数の保存先（ローカル、クラウドストレージなど）を「マウント」として束ねて見せます。ふだん画面や API からのファイル操作は、ログインと PathRule で制限されています。ところが、ファイルの配信とサムネイルの 2 つの窓口は認証の対象になっておらず、マウント名と相対パスを渡せばそのまま中身を返します。攻撃者は管理画面に入る必要がなく、パスが推測できれば、制限がかかっているはずのファイルまで読めます。

どんな場合に危ないか

• Foxel をインターネットから到達できる状態で運用している場合（リバースプロキシ越しの公開を含む）。
• 社内文書、バックアップ、認証情報を含む設定ファイルなどを Foxel のマウント先に置いている場合。
• PathRule で「一部の利用者だけ閲覧可」にしていた場合。この欠陥ではその設定が効きません。

対応

1. 公式の修正リリースが出ていないか確認し、出ていれば更新する。取得時点で最新リリースは 2.4.0（2026-10-29）で、修正コミットはその後に入っている。
2. 更新できない間は、Foxel をインターネットに公開せず、VPN・リバースプロキシの認証（Basic 認証や SSO）・IP 制限の内側に置く。リバースプロキシで /api/fs/stream と /api/fs/thumb へのアクセスに認証を要求する方法もある。
3. 公開していた場合は、アクセスログで /api/fs/stream と /api/fs/thumb への未ログインの要求がなかったかを確認する。
4. 該当期間にマウント先へ秘密情報（鍵・パスワード・設定ファイル）を置いていた場合は、漏れた前提で入れ替えを検討する。

未確認の点

• 悪用の有無・規模。現時点で攻撃の報告は確認できていない。
• 修正を含む公式リリースの版番号。2.4.0 より後のリリースは取得時点で見つからなかった。
• 2.4.0 より前のすべての版が影響を受けるのか（NVD は「2.4.0 まで」）。
• マウント名と相対パスを攻撃者がどう知るか（既定のマウント名か、推測が必要か）。
• NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。