目次（4）
CVE-2026-121451
AB Download Manager（オープンソースのダウンロード管理ソフト）に、利用者が開いている悪意のあるウェブページから、パソコン内の好きな場所へファイルを書き込まれる欠陥（CVE-2026-121451）が公表されました。ブラウザ連携用の API（自分のパソコンの 15151 番ポートで待ち受ける）の /start-headless-download が、認証も Origin（送信元）の確認もなく、保存先のフォルダとファイル名を検証せずに受け付けるためです。ページ側が text/plain 形式でリクエストを送ると、事前確認なしに通ります。書き込み先にスタートアップフォルダを指定されると、次回ログイン時に攻撃者のファイルが実行されます。NVD に載っている CVSS v3.1 は 8.8（AV:N/AC:L/PR:N/UI:R/C:H/I:H/A:H、評価元は VulnCheck）です。認証は不要ですが、利用者が悪意のあるページを開く操作が必要なため severity は high です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。対象は 1.11.2 未満で、修正版は 1.11.2 です。
概要
| 項目 | 内容 |
|---|---|
| 問題 | ブラウザ連携 API が認証なしで、Origin の確認もなく、保存先（folder・name）を検証しない（CWE-352、クロスサイトリクエスト偽造） |
| 攻撃条件 | 利用者が AB Download Manager を起動したまま、悪意のあるページをブラウザで開く（UI:R）。認証は不要（PR:N）。API は自分のパソコン内（127.0.0.1）で待ち受けるが、ブラウザ経由で届く |
| 影響 | 攻撃者が選んだ内容のファイルを任意のパスへ書き込み、すぐにダウンロードを開始できる。スタートアップフォルダに置かれると次回ログイン時にコードが実行される。機密性・完全性・可用性とも高 |
| CVSS v3.1 | 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元） |
| EPSS | 取得時点（2026-11-04）では FIRST にデータなし |
| CISA KEV | 載っていない（2026-11-04 時点） |
| 対象 | 1.11.2 未満（NVD の記載） |
| 修正 | 1.11.2（2026-10-31 公開）。リリースノートに「特定のルートで API キー認証を強制する」（#1512）とある |
報告（GitHub の issue）によると、この API は初期設定で有効（apiEnabled が true）、認証は無効（apiAuthEnabled が false）です。ブラウザ拡張機能や特別な権限は要らず、普通のウェブページの JavaScript だけで届く点が特徴です。「自分のパソコン内でしか待ち受けていないから安全」とは言えない例です。
どんな場合に危ないか
- AB Download Manager 1.11.1 以前を、初期設定のまま使っている場合。
- アプリを起動したまま、信頼できないサイトや広告・メールのリンク先を開く場合。
- Windows などで、スタートアップフォルダに書き込める権限のまま利用している場合。
対応
- 1.11.2 以降（本記事の時点の最新は 1.11.4）へ更新する。
- 更新までの間は、ブラウザ連携を使わないなら、アプリの設定でこの API を無効にする。
- 更新後は、API キー認証を有効にし、キーを設定する。修正の内容は「特定のルートで API キー認証を強制する」であり、認証を有効にしない既定のままで防げるかは確認できていない。
- スタートアップフォルダやダウンロード先以外の場所に、身に覚えのないファイルがないか確認する。
- 疑わしい場合は、そのパソコンを侵害された前提で調べる。
未確認の点
- 悪用の有無・規模。現時点で攻撃の報告は確認できていない。
- 1.11.2 で認証を有効にしない既定のままでも悪用を防げるのか（修正は特定ルートでの API キー強制）。
- 1.11.2 より前のすべての版が対象か（報告は 2026-10-15 時点のコミットで確認）。
- macOS・Linux での悪用のしやすさ（スタートアップ以外の書き込み先）。
- NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。
出典
- NVD CVE-2026-121451（NIST NVD）
- VulnCheck 勧告 AB Download Manager before 1.11.2（VulnCheck）
- AB Download Manager 1.11.2 リリースノート（AB Download Manager）
- AB Download Manager 修正（#1512）（AB Download Manager）
- FIRST EPSS（FIRST）
