Scriptables（v2-dev まで）CVE-2026-38595: /sync のファイル名から OS コマンド注入、認証不要（CVSS v3.1 9.8）。修正版は未確認

im3x Scriptables（NVD の表記。v2-dev ブランチ。製品の用途は未確認）に、細工したファイル名のアップロードで OS コマンドを実行できる欠陥が登録されました（CVE-2026-38595）。NVD への登録は 2026-11-03（状態は Received）で、CVSS は NVD の二次評価として付いています。NVD 自身の最終評価はまだありません。

何が起きるか

• NVD の説明では、/sync エンドポイントに細工したファイル名のファイルをアップロードすると、攻撃者が任意の OS コマンドを注入できます。
• 弱点の分類は CWE-78（OS コマンドインジェクション）と CWE-22（パストラバーサル）です。ファイル名の扱いに問題があるとみられますが、コードの具体的な箇所と、どの版から影響を受けるかは確認できていません。
• 影響範囲は「v2-dev ブランチまで」とされています。リリース版の番号や、修正された版は確認できていません。

数値と severity

• CVSS v3.1: 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N、機密性・完全性・可用性すべて高）。
• 認証不要（PR:N）で CVSS 9 以上のため、基準どおり severity は critical とします。ただし、このソフトウェアは個人規模のオープンソースとみられ、実際にインターネットへ公開されて使われている台数は未確認です（推定）。
• CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は 0.157%（11/4 時点の FIRST の値）と低めです。一方、NVD に付いた SSVC の記録（CISA Coordinator 名義）では、悪用状況は「poc」（概念実証あり）、自動化は「yes」、技術的影響は「total」とされています。

修正の状況

• NVD の記載から、修正版や回避策は確認できません。NVD の参照先には、研究者による勧告ページと、ソフトウェアのリポジトリ（v2-dev の app.js）があります。勧告の中身は今回読めておらず、修正コミットの有無は未確認です。

対策として考えられること

1. Scriptables の v2-dev を使っている場合は、/sync を外部（インターネット、社内の信頼できない範囲）から到達できないようにします。
2. 使っていない場合も、同じ名前のサービスが動いていないか、アップロード口が公開されていないかを確認します。
3. 修正版が出るまでは、利用を止める、またはリバースプロキシでアクセス元を絞る対応が考えられます（有効性は未確認で、推定です）。

未確認の点

• 影響を受ける具体的な版、修正版・回避策の有無。
• 実際の悪用の有無、公開された概念実証（PoC）の中身（SSVC の記録は参考値です）。
• インターネットに公開されている台数など、利用規模。
• NVD の最終評価（現在は二次評価のみ）。