---
title: "Foxel に認証なしでファイルを読める欠陥（CVE-2026-121555）: CVSS 7.5、共有ストレージの中身が漏れる（2.4.0 以前・修正版の番号は未確認）"
url: https://n-t-p.io/worldsecurity/articles/foxel-cve-2026-121555-unauthenticated-file-read-api-fs-stream-thumb-through-2-4-0
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121555
---

# Foxel に認証なしでファイルを読める欠陥（CVE-2026-121555）: CVSS 7.5、共有ストレージの中身が漏れる（2.4.0 以前・修正版の番号は未確認）

> **TL;DR:** Foxel 2.4.0 以前の /api/fs/stream・/api/fs/thumb が認証なしで、全マウントのファイルを読める欠陥（CVE-2026-121555、CVSS v3.1 7.5）。情報漏えいのみで CVSS 9 未満のため high。KEV 未掲載。修正コミットはあるが公式リリースの版は未確認。

**要点**
- ファイルの配信とサムネイルの窓口に認証がなく、PathRule の制限も迂回される（CVE-2026-121555、CWE-306）。CVSS v3.1 は 7.5（評価元 VulnCheck）
- 攻撃はログイン不要でネットワーク経由。マウント名と相対パスが分かれば、全マウントのファイルとサムネイルを取得できる。影響は情報漏えいのみの評価
- 対象は 2.4.0 まで。修正コミット（2026-11-03）はあるが、公式リリースの版番号は未確認。KEV 未掲載、EPSS は取得時点でデータなし
- 公開をやめるか認証付きの経路の内側に置く。更新は修正リリースの確認後。悪用の有無・マウント名の推測しやすさは未確認

Foxel（自分で運用するファイル管理・共有のオープンソースソフト）に、ログインなしでファイルを丸ごと読める欠陥（CVE-2026-121555）が公表されました。ファイルの配信用の窓口 /api/fs/stream と、サムネイル用の /api/fs/thumb が認証を求めないため、攻撃者がマウント名（仮想ファイルシステムの接頭辞）と相対パスを指定すると、全マウントのファイルの中身やサムネイルを取得できます。管理者が PathRule（パスごとの権限設定）で閲覧を制限していても、この経路では迂回されます。NVD に載っている CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/C:H、評価元は VulnCheck）で、情報の漏えいのみの評価です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。修正は 2026-11-03 のコミットで入りましたが、取得時点で修正を含む公式リリースは確認できていません。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | /api/fs/stream と /api/fs/thumb に認証・読み取り権限の確認がない（CWE-306） |
| 攻撃条件 | ネットワーク経由で、ログイン・利用者操作とも不要（PR:N / UI:N）。対象の Foxel に到達でき、マウント名と相対パスが分かればよい |
| 影響 | 全マウントのファイルの中身とサムネイルの取得。PathRule による閲覧制限の迂回。機密性のみ高（完全性・可用性への影響は評価なし） |
| CVSS v3.1 | 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元） |
| EPSS | 取得時点（2026-11-04）では FIRST にデータなし |
| CISA KEV | 載っていない（2026-11-04 時点） |
| 対象 | NVD の記載は「2.4.0 まで」（2.4.0 を含む） |
| 修正 | リポジトリのコミット 73d9fa8（2026-11-03）で、配信・サムネイルの両窓口に認証と読み取り権限の確認を追加。公式リリースの版番号は未確認 |

Foxel の仮想ファイルシステム（VFS）は、複数の保存先（ローカル、クラウドストレージなど）を「マウント」として束ねて見せます。ふだん画面や API からのファイル操作は、ログインと PathRule で制限されています。ところが、ファイルの配信とサムネイルの 2 つの窓口は認証の対象になっておらず、マウント名と相対パスを渡せばそのまま中身を返します。攻撃者は管理画面に入る必要がなく、パスが推測できれば、制限がかかっているはずのファイルまで読めます。

## どんな場合に危ないか

- Foxel をインターネットから到達できる状態で運用している場合（リバースプロキシ越しの公開を含む）。
- 社内文書、バックアップ、認証情報を含む設定ファイルなどを Foxel のマウント先に置いている場合。
- PathRule で「一部の利用者だけ閲覧可」にしていた場合。この欠陥ではその設定が効きません。

## 対応

1. 公式の修正リリースが出ていないか確認し、出ていれば更新する。取得時点で最新リリースは 2.4.0（2026-10-29）で、修正コミットはその後に入っている。
2. 更新できない間は、Foxel をインターネットに公開せず、VPN・リバースプロキシの認証（Basic 認証や SSO）・IP 制限の内側に置く。リバースプロキシで /api/fs/stream と /api/fs/thumb へのアクセスに認証を要求する方法もある。
3. 公開していた場合は、アクセスログで /api/fs/stream と /api/fs/thumb への未ログインの要求がなかったかを確認する。
4. 該当期間にマウント先へ秘密情報（鍵・パスワード・設定ファイル）を置いていた場合は、漏れた前提で入れ替えを検討する。

## 未確認の点

- 悪用の有無・規模。現時点で攻撃の報告は確認できていない。
- 修正を含む公式リリースの版番号。2.4.0 より後のリリースは取得時点で見つからなかった。
- 2.4.0 より前のすべての版が影響を受けるのか（NVD は「2.4.0 まで」）。
- マウント名と相対パスを攻撃者がどう知るか（既定のマウント名か、推測が必要か）。
- NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。


## 出典
- [NVD CVE-2026-121555](https://nvd.nist.gov/vuln/detail/CVE-2026-121555) — NIST NVD
- [VulnCheck 勧告 Foxel through 2.4.0](https://www.vulncheck.com/advisories/foxel-through-2.4.0-unauthenticated-file-read-via-api-fs-stream-and-api-fs-thumb) — VulnCheck
- [Foxel 修正コミット 73d9fa8（2026-11-03）](https://github.com/DrizzleTime/Foxel/commit/73d9fa825e1004d37abb7b10faea0cd7f5bcb463) — Foxel
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-121555) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/foxel-cve-2026-121555-unauthenticated-file-read-api-fs-stream-thumb-through-2-4-0