---
title: "Termix（2.9.2 以前）のファイルマネージャー transferToHost で destPath のパストラバーサル（CVE-2026-120322、CVSS v3.1 9.9）: 要ログイン・遠隔から任意の場所へ書き込める可能性、コア v26.10.0 で近道を除去"
url: https://n-t-p.io/worldsecurity/articles/termix-ssh-file-manager-transfertohost-destpath-path-traversal-arbitrary-file-write-up-to-2-9-2-cve-2026-120322
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-120322
---

# Termix（2.9.2 以前）のファイルマネージャー transferToHost で destPath のパストラバーサル（CVE-2026-120322、CVSS v3.1 9.9）: 要ログイン・遠隔から任意の場所へ書き込める可能性、コア v26.10.0 で近道を除去

> **TL;DR:** Termix 2.9.2 以前のファイルマネージャー /plugin-api/file-manager/transferToHost で、destPath のパストラバーサル（CWE-22）により意図しない場所へ書き込める可能性がある（CVE-2026-120322）。要ログイン、CVSS v3.1 9.9／v4.0 8.6、悪用成熟度は PoC。近道はコア v26.10.0 で除去済み。KEV なし、EPSS は公開直後のため未算出、悪用は未確認。

**要点**
- Termix 2.9.0〜2.9.2 の /plugin-api/file-manager/transferToHost で、destPath が検証されずパストラバーサルになる（CWE-22）。書き込み範囲と任意コード実行への到達は未確認
- CVSS は v3.1 が 9.9、v4.0 が 8.6（いずれも VulDB＝CNA の値、要ログイン・利用者の操作不要）。NVD は Received で独自評価なし
- NVD の説明では近道がコア v26.10.0（ファイルマネージャープラグインは v1.0.0）で除去済み。最新リリースは v26.11.0（2026-11-01）。中間の版の扱いは未確認
- 実際の悪用は未確認で、KEV なし、EPSS は公開直後のため未算出。v4.0 の悪用成熟度は PoC だが公開手順の中身は未確認
- 管理画面・API の到達制限やアカウントの絞り込みは推定

NVD は 2026-11-02 に、SSH 接続・ファイル管理用のセルフホスト型ツール Termix の 2.9.2 までの版に関する脆弱性 CVE-2026-120322 を登録しました。ファイルマネージャーの /plugin-api/file-manager/transferToHost で destPath 引数を操作すると、パストラバーサル（CWE-22）が起き、意図しない場所へファイルを書き込める可能性があります。登録元（CNA）は VulDB で、説明には「遠隔から攻撃できる」「攻撃手法が公開されており、使われる可能性がある」と書かれています。一方で、同じ説明に「この近道（shortcut）は、単体のファイルマネージャープラグイン v1.0.0 と、コア v26.10.0 で除去された（転送エンジンは常に SFTP 経由で書き込む）」とあり、修正済みの版があります。CVSS は v3.1 が 9.9、v4.0 が 8.6 で、ログイン（低い権限）は必要です。

## 何が起きるか

- 対象は Termix の 2.9.0・2.9.1・2.9.2 です（NVD の影響版の一覧。「2.9.2 以前」とも書かれています）。
- /plugin-api/file-manager/transferToHost の destPath 引数が検証されず、パストラバーサルになります。公開されている解説の題名は「任意ファイル書き込み」ですが、その中身は確認していません。
- CVSS のベクターは AV:N／AC:L／PR:L／UI:N（ネットワーク越し・低い複雑さ・低い権限・利用者の操作不要）で、機密性・完全性・可用性のすべてが「高」、スコープ変更（S:C）と評価されています。
- 書き込み先がどこまで広がるか、書き込みから任意コード実行に至るかは未確認です。サーバー側の重要なファイルが書き換えられれば、設定の改ざんや機器の乗っ取りにつながる可能性があります（推定）。
- 本記事では攻撃の詳細は扱いません。

## 修正の状況

- NVD の説明によると、この近道はファイルマネージャープラグインの v1.0.0 と、コアの v26.10.0 で除去されています。以後、転送エンジンは常に SFTP 経由で書き込みます。
- 公式リポジトリの最新リリースは v26.11.0（2026-11-01）です（2026-11-02 取得）。2.9.2 から v26.10.0 の間の版の扱い、各版で実際にコードが変わったかは確認していません。
- ベンダーは開示の初期に連絡を受けたが応答しなかった、とも説明にあります。ベンダーの勧告や回避策への参照は NVD にありません。

## 数値と出典（2026-11-02 時点）

| CVE | 箇所（引数） | 種類 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS |
|---|---|---|---|---|---|---|---|
| CVE-2026-120322 | /plugin-api/file-manager/transferToHost（destPath） | パストラバーサル | 低（要ログイン） | 9.9 | 8.6 | CWE-22 | 公開直後のため未算出 |

- NVD の状態は Received で、NVD 自身の評価はまだありません。CVSS は VulDB（CNA）の値です。v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（9.9）、v4.0 は CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P（8.6）です。
- EPSS（FIRST）は 2026-11-02 時点で未登録のため、「公開直後のため未算出」としています。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。

## severity を high とした理由

要ログインで、修正済みの版（コア v26.10.0 以降）があります。実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も未算出です。一方で、CVSS v3.1 は 9.9、v4.0 の悪用成熟度は PoC で、書き込み先が広いと、サーバーの乗っ取りに至る可能性があります。修正版があることを踏まえ、critical ではなく high としています。

## 対応として考えられること

1. Termix を使っているか、版が 2.9.2 以下（2.9.0〜2.9.2）かを確認します。
2. コアを v26.10.0 以降（最新は v26.11.0）に更新します。ファイルマネージャーをプラグインとして使っている場合は、v1.0.0 以降かも確認します。
3. 更新までの間は、Termix の管理画面・API をインターネット側から到達できないようにし、アカウントは必要な利用者だけに絞ります（推定）。
4. 不要になったアカウントの停止と、パスワードの見直しを行います（推定）。
5. 更新前の期間に、サーバー上で見慣れないファイルの作成や設定の変更がないかを、ログやバックアップと比べて確認します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 2.9.2 から v26.10.0 の間の版の扱い、各版で実際にコードが変わったかは確認していません。
- 書き込める場所の範囲と、任意コード実行まで至るかは未確認です。
- 公開されている解説・手順の中身は確認していません。
- NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。


## 出典
- [NVD CVE-2026-120322](https://nvd.nist.gov/vuln/detail/CVE-2026-120322) — NIST NVD
- [VulDB 登録情報（CVE-2026-120322）](https://vuldb.com/cve/CVE-2026-120322) — VulDB
- [VulDB 脆弱性情報 429654](https://vuldb.com/vuln/429654) — VulDB
- [Termix リリース一覧](https://github.com/Termix-SSH/Termix/releases) — GitHub
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120322) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/termix-ssh-file-manager-transfertohost-destpath-path-traversal-arbitrary-file-write-up-to-2-9-2-cve-2026-120322