GoFound CVE-2026-120444（CVSS v3.1 8.1）: /api/db/drop の database パラメーターのパストラバーサルで、認証なしにデータ領域外のディレクトリを削除できる

GoFound 1.4.1 以前の検索エンジン機能に、パストラバーサルの問題 CVE-2026-120444 が公開されました。NVD は 2026-11-02 に登録しました。/api/db/create と /api/db/drop の database パラメーターに ../ を含めると、データ用ディレクトリの外にあるディレクトリが os.RemoveAll で再帰的に削除されるとされています。認証は不要で、GET リクエストで呼べるため、被害者のブラウザー経由でも成り立つ、と説明されています。NVD の状態は Deferred で、評価は VulnCheck が付与した CVSS v3.1 の 8.1（HIGH）です。

概要

項目	内容
CVE	CVE-2026-120444
製品	GoFound（Go 製の全文検索エンジン）。1.4.1 以前
問題	/api/db/create と /api/db/drop が database パラメーターの ../ を検証せず、データ用ディレクトリの外を削除対象にできる（CWE-22、パストラバーサル）
攻撃条件	ネットワーク経由（AV:N）、攻撃の難易度は低い（AC:L）、認証不要（PR:N）、ユーザー操作が必要（UI:R）
結果	任意のディレクトリの削除。完全性・可用性が High、機密性への影響はなし

• 削除は GET リクエストで引き起こせるため、管理画面などにログインした利用者のブラウザーに細工したリンクやページを開かせる形でも成り立つと説明されています。
• 削除できる範囲は、GoFound のプロセスを動かしているアカウントの権限で決まります。実際にどのディレクトリまで消せるかは構成によるため、未確認です。

CVSS

評価元	種別	版	スコア	ベクター
VulnCheck	副（Secondary）	v3.1	8.1（HIGH）	AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
VulnCheck	副（Secondary）	v4.0	7.2（HIGH）	AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:H

認証は不要ですが、スコアは 9 未満です。本サイトでは high としています。

影響範囲

• GoFound 1.4.1 以前が影響を受けるとされています（VulnCheck の記載）。
• GoFound の API を、インターネットや社内の広い範囲に公開している環境、または利用者のブラウザーから到達できる環境が、影響を受けうる立場にあります。

修正

• 修正版の有無と版番号は、確認できた範囲では示されていません（未確認）。NVD の参照には、問題のあるソースコードと、課題票（issue）が挙がっています。
• 修正版が出るまでは、下記の一般的な対策で到達性を下げてください。

当面の対策（一般的なもの）

• GoFound の API を、信頼できるネットワークだけに公開する。リバースプロキシーなどで認証と IP 制限をかける。
• /api/db/create と /api/db/drop への到達を、プロキシー側で遮断する。database パラメーターに .. や区切り文字を含む要求を拒否する。
• GoFound のプロセスを、削除されても困らない最小限の権限と、専用のコンテナーやディレクトリで動かす。
• データのバックアップを取り、削除されたときに戻せるようにする。
• 緩和策が実際に有効かどうかは、利用環境での検証が必要です（未確認）。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Deferred
CVSS	v3.1 8.1（HIGH）、v4.0 7.2（HIGH）。いずれも VulnCheck
EPSS	未算定（FIRST、2026-11-03 時点）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、VulnCheck、FIRST、CISA

未確認の点

• 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
• 修正版の有無と版番号。
• 実際に削除できるディレクトリの範囲（実行アカウントの権限と構成による）。
• ブラウザー経由の攻撃が、既定の構成でどの程度成り立つか。
• 緩和策が有効に働くかどうか。
• NVD による独自の分析（Deferred のため）。