---
title: "GoFound CVE-2026-120444（CVSS v3.1 8.1）: /api/db/drop の database パラメーターのパストラバーサルで、認証なしにデータ領域外のディレクトリを削除できる"
url: https://n-t-p.io/worldsecurity/articles/gofound-api-db-drop-path-traversal-arbitrary-directory-delete-cve-2026-120444
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 高
cve: CVE-2026-120444
---

# GoFound CVE-2026-120444（CVSS v3.1 8.1）: /api/db/drop の database パラメーターのパストラバーサルで、認証なしにデータ領域外のディレクトリを削除できる

> **TL;DR:** GoFound 1.4.1 以前の /api/db/create と /api/db/drop が database パラメーターの `../` を検証せず、認証なしでデータ領域外のディレクトリを os.RemoveAll で削除できる（CVE-2026-120444）。VulnCheck の CVSS v3.1 は 8.1（UI:R）。KEV なし、EPSS は未算定。

**要点**
- /api/db/drop などの database パラメーターに `../` を含めると、データ領域外のディレクトリが再帰的に削除される（CWE-22）
- 認証は不要で GET で呼べる。被害者のブラウザー経由でも成り立つとされる（UI:R）
- CVSS v3.1 は 8.1（AV:N/PR:N）だが 9 未満のため high。NVD は Deferred
- 修正版の有無、削除できる範囲、悪用の実態は未確認。KEV なし、EPSS は未算定

GoFound 1.4.1 以前の検索エンジン機能に、パストラバーサルの問題 CVE-2026-120444 が公開されました。NVD は 2026-11-02 に登録しました。/api/db/create と /api/db/drop の database パラメーターに `../` を含めると、データ用ディレクトリの外にあるディレクトリが `os.RemoveAll` で再帰的に削除されるとされています。認証は不要で、GET リクエストで呼べるため、被害者のブラウザー経由でも成り立つ、と説明されています。NVD の状態は Deferred で、評価は VulnCheck が付与した CVSS v3.1 の 8.1（HIGH）です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-120444 |
| 製品 | GoFound（Go 製の全文検索エンジン）。1.4.1 以前 |
| 問題 | /api/db/create と /api/db/drop が database パラメーターの `../` を検証せず、データ用ディレクトリの外を削除対象にできる（CWE-22、パストラバーサル） |
| 攻撃条件 | ネットワーク経由（AV:N）、攻撃の難易度は低い（AC:L）、認証不要（PR:N）、ユーザー操作が必要（UI:R） |
| 結果 | 任意のディレクトリの削除。完全性・可用性が High、機密性への影響はなし |

- 削除は GET リクエストで引き起こせるため、管理画面などにログインした利用者のブラウザーに細工したリンクやページを開かせる形でも成り立つと説明されています。
- 削除できる範囲は、GoFound のプロセスを動かしているアカウントの権限で決まります。実際にどのディレクトリまで消せるかは構成によるため、未確認です。

## CVSS

| 評価元 | 種別 | 版 | スコア | ベクター |
|---|---|---|---|---|
| VulnCheck | 副（Secondary） | v3.1 | 8.1（HIGH） | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
| VulnCheck | 副（Secondary） | v4.0 | 7.2（HIGH） | AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:H |

認証は不要ですが、スコアは 9 未満です。本サイトでは high としています。

## 影響範囲

- GoFound 1.4.1 以前が影響を受けるとされています（VulnCheck の記載）。
- GoFound の API を、インターネットや社内の広い範囲に公開している環境、または利用者のブラウザーから到達できる環境が、影響を受けうる立場にあります。

## 修正

- 修正版の有無と版番号は、確認できた範囲では示されていません（未確認）。NVD の参照には、問題のあるソースコードと、課題票（issue）が挙がっています。
- 修正版が出るまでは、下記の一般的な対策で到達性を下げてください。

## 当面の対策（一般的なもの）

- GoFound の API を、信頼できるネットワークだけに公開する。リバースプロキシーなどで認証と IP 制限をかける。
- /api/db/create と /api/db/drop への到達を、プロキシー側で遮断する。database パラメーターに `..` や区切り文字を含む要求を拒否する。
- GoFound のプロセスを、削除されても困らない最小限の権限と、専用のコンテナーやディレクトリで動かす。
- データのバックアップを取り、削除されたときに戻せるようにする。
- 緩和策が実際に有効かどうかは、利用環境での検証が必要です（未確認）。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred |
| CVSS | v3.1 8.1（HIGH）、v4.0 7.2（HIGH）。いずれも VulnCheck |
| EPSS | 未算定（FIRST、2026-11-03 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、VulnCheck、FIRST、CISA |

## 未確認の点

- 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
- 修正版の有無と版番号。
- 実際に削除できるディレクトリの範囲（実行アカウントの権限と構成による）。
- ブラウザー経由の攻撃が、既定の構成でどの程度成り立つか。
- 緩和策が有効に働くかどうか。
- NVD による独自の分析（Deferred のため）。


## 出典
- [NVD CVE-2026-120444](https://nvd.nist.gov/vuln/detail/CVE-2026-120444) — NIST NVD
- [VulnCheck アドバイザリー](https://www.vulncheck.com/advisories/gofound-through-1.4.1-path-traversal-via-database-parameter-in-api-db-drop) — VulnCheck
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120444) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/gofound-api-db-drop-path-traversal-arbitrary-directory-delete-cve-2026-120444