---
title: "Scriptables（v2-dev まで）CVE-2026-38595: /sync のファイル名から OS コマンド注入、認証不要（CVSS v3.1 9.8）。修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/scriptables-cve-2026-38595-os-command-injection-via-sync-filename
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-38595
---

# Scriptables（v2-dev まで）CVE-2026-38595: /sync のファイル名から OS コマンド注入、認証不要（CVSS v3.1 9.8）。修正版は未確認

> **TL;DR:** Scriptables（v2-dev まで）で、/sync に細工したファイル名のファイルを送ると OS コマンドを注入できる。認証不要・CVSS v3.1 9.8。修正版は未確認。

**要点**
- /sync へのアップロード時のファイル名からコマンドを注入できる（CWE-78・CWE-22）。影響は v2-dev ブランチまでとされるが、具体的な版は未確認。
- 認証不要（PR:N）・CVSS v3.1 9.8（NVD 二次評価）のため critical。KEV 掲載なし、EPSS は約 0.16%。SSVC の記録は poc・自動化 yes。
- 修正版・回避策は未確認。/sync を外部から到達できないようにする、利用を止める、といった対応が考えられる（有効性は未確認・推定）。
- 悪用の有無・PoC の中身・利用規模・NVD の最終評価は未確認。

im3x Scriptables（NVD の表記。v2-dev ブランチ。製品の用途は未確認）に、細工したファイル名のアップロードで OS コマンドを実行できる欠陥が登録されました（CVE-2026-38595）。NVD への登録は 2026-11-03（状態は Received）で、CVSS は NVD の二次評価として付いています。NVD 自身の最終評価はまだありません。

## 何が起きるか
- NVD の説明では、`/sync` エンドポイントに細工したファイル名のファイルをアップロードすると、攻撃者が任意の OS コマンドを注入できます。
- 弱点の分類は CWE-78（OS コマンドインジェクション）と CWE-22（パストラバーサル）です。ファイル名の扱いに問題があるとみられますが、コードの具体的な箇所と、どの版から影響を受けるかは確認できていません。
- 影響範囲は「v2-dev ブランチまで」とされています。リリース版の番号や、修正された版は確認できていません。

## 数値と severity
- CVSS v3.1: 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N、機密性・完全性・可用性すべて高）。
- 認証不要（PR:N）で CVSS 9 以上のため、基準どおり severity は critical とします。ただし、このソフトウェアは個人規模のオープンソースとみられ、実際にインターネットへ公開されて使われている台数は未確認です（推定）。
- CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は 0.157%（11/4 時点の FIRST の値）と低めです。一方、NVD に付いた SSVC の記録（CISA Coordinator 名義）では、悪用状況は「poc」（概念実証あり）、自動化は「yes」、技術的影響は「total」とされています。

## 修正の状況
- NVD の記載から、修正版や回避策は確認できません。NVD の参照先には、研究者による勧告ページと、ソフトウェアのリポジトリ（v2-dev の app.js）があります。勧告の中身は今回読めておらず、修正コミットの有無は未確認です。

## 対策として考えられること
1. Scriptables の v2-dev を使っている場合は、`/sync` を外部（インターネット、社内の信頼できない範囲）から到達できないようにします。
2. 使っていない場合も、同じ名前のサービスが動いていないか、アップロード口が公開されていないかを確認します。
3. 修正版が出るまでは、利用を止める、またはリバースプロキシでアクセス元を絞る対応が考えられます（有効性は未確認で、推定です）。

## 未確認の点
- 影響を受ける具体的な版、修正版・回避策の有無。
- 実際の悪用の有無、公開された概念実証（PoC）の中身（SSVC の記録は参考値です）。
- インターネットに公開されている台数など、利用規模。
- NVD の最終評価（現在は二次評価のみ）。


## 出典
- [NVD CVE-2026-38595](https://nvd.nist.gov/vuln/detail/CVE-2026-38595) — NIST NVD
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-38595) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/scriptables-cve-2026-38595-os-command-injection-via-sync-filename