--- title: "AB Download Manager で閲覧中のサイトから任意の場所へファイルを書き込まれる欠陥（CVE-2026-121451）: CVSS 8.8、ブラウザ連携 API の CSRF（1.11.2 未満・修正版 1.11.2）" url: https://n-t-p.io/worldsecurity/articles/ab-download-manager-cve-2026-121451-browser-integration-api-csrf-arbitrary-file-write-before-1-11-2 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121451 --- # AB Download Manager で閲覧中のサイトから任意の場所へファイルを書き込まれる欠陥（CVE-2026-121451）: CVSS 8.8、ブラウザ連携 API の CSRF（1.11.2 未満・修正版 1.11.2） > **TL;DR:** AB Download Manager 1.11.2 未満で、悪意あるページから連携 API 経由で任意のパスへファイルを書き込まれ、スタートアップ経由で実行される欠陥（CVE-2026-121451、CVSS v3.1 8.8）。利用者の操作が必要（UI:R）のため high。KEV 未掲載。修正版 1.11.2。 **要点** - ブラウザ連携 API が認証・Origin 確認なしで保存先（folder・name）を検証せず、text/plain の要求で任意のパスへファイルを書き込める（CVE-2026-121451、CWE-352）。CVSS v3.1 は 8.8（評価元 VulnCheck） - 悪意のあるページを開くだけで届く（UI:R）。スタートアップフォルダに書かれると次回ログイン時にコードが実行される。初期設定で API は有効・認証は無効 - 対象は 1.11.2 未満、修正版は 1.11.2（最新は 1.11.4）。KEV 未掲載、EPSS は取得時点でデータなし - 更新、ブラウザ連携を使わないなら API の無効化、API キー認証の有効化を。悪用の有無・既定のままで防げるかは未確認 AB Download Manager（オープンソースのダウンロード管理ソフト）に、利用者が開いている悪意のあるウェブページから、パソコン内の好きな場所へファイルを書き込まれる欠陥（CVE-2026-121451）が公表されました。ブラウザ連携用の API（自分のパソコンの 15151 番ポートで待ち受ける）の /start-headless-download が、認証も Origin（送信元）の確認もなく、保存先のフォルダとファイル名を検証せずに受け付けるためです。ページ側が text/plain 形式でリクエストを送ると、事前確認なしに通ります。書き込み先にスタートアップフォルダを指定されると、次回ログイン時に攻撃者のファイルが実行されます。NVD に載っている CVSS v3.1 は 8.8（AV:N/AC:L/PR:N/UI:R/C:H/I:H/A:H、評価元は VulnCheck）です。認証は不要ですが、利用者が悪意のあるページを開く操作が必要なため severity は high です。CISA の KEV（悪用が確認された脆弱性）には載っておらず、EPSS（悪用される見込みの数値）は取得時点でデータがありません。対象は 1.11.2 未満で、修正版は 1.11.2 です。 ## 概要 | 項目 | 内容 | |---|---| | 問題 | ブラウザ連携 API が認証なしで、Origin の確認もなく、保存先（folder・name）を検証しない（CWE-352、クロスサイトリクエスト偽造） | | 攻撃条件 | 利用者が AB Download Manager を起動したまま、悪意のあるページをブラウザで開く（UI:R）。認証は不要（PR:N）。API は自分のパソコン内（127.0.0.1）で待ち受けるが、ブラウザ経由で届く | | 影響 | 攻撃者が選んだ内容のファイルを任意のパスへ書き込み、すぐにダウンロードを開始できる。スタートアップフォルダに置かれると次回ログイン時にコードが実行される。機密性・完全性・可用性とも高 | | CVSS v3.1 | 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H、評価元は VulnCheck）。CVSS v4.0 では 8.7（同じ評価元） | | EPSS | 取得時点（2026-11-04）では FIRST にデータなし | | CISA KEV | 載っていない（2026-11-04 時点） | | 対象 | 1.11.2 未満（NVD の記載） | | 修正 | 1.11.2（2026-10-31 公開）。リリースノートに「特定のルートで API キー認証を強制する」（#1512）とある | 報告（GitHub の issue）によると、この API は初期設定で有効（apiEnabled が true）、認証は無効（apiAuthEnabled が false）です。ブラウザ拡張機能や特別な権限は要らず、普通のウェブページの JavaScript だけで届く点が特徴です。「自分のパソコン内でしか待ち受けていないから安全」とは言えない例です。 ## どんな場合に危ないか - AB Download Manager 1.11.1 以前を、初期設定のまま使っている場合。 - アプリを起動したまま、信頼できないサイトや広告・メールのリンク先を開く場合。 - Windows などで、スタートアップフォルダに書き込める権限のまま利用している場合。 ## 対応 1. 1.11.2 以降（本記事の時点の最新は 1.11.4）へ更新する。 2. 更新までの間は、ブラウザ連携を使わないなら、アプリの設定でこの API を無効にする。 3. 更新後は、API キー認証を有効にし、キーを設定する。修正の内容は「特定のルートで API キー認証を強制する」であり、認証を有効にしない既定のままで防げるかは確認できていない。 4. スタートアップフォルダやダウンロード先以外の場所に、身に覚えのないファイルがないか確認する。 5. 疑わしい場合は、そのパソコンを侵害された前提で調べる。 ## 未確認の点 - 悪用の有無・規模。現時点で攻撃の報告は確認できていない。 - 1.11.2 で認証を有効にしない既定のままでも悪用を防げるのか（修正は特定ルートでの API キー強制）。 - 1.11.2 より前のすべての版が対象か（報告は 2026-10-15 時点のコミットで確認）。 - macOS・Linux での悪用のしやすさ（スタートアップ以外の書き込み先）。 - NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。EPSS も未算出で、公開された悪用コードの有無も確認できていない。 ## 出典 - [NVD CVE-2026-121451](https://nvd.nist.gov/vuln/detail/CVE-2026-121451) — NIST NVD - [VulnCheck 勧告 AB Download Manager before 1.11.2](https://www.vulncheck.com/advisories/ab-download-manager-before-1.11.2-arbitrary-file-write-via-start-headless-download-csrf) — VulnCheck - [AB Download Manager 1.11.2 リリースノート](https://github.com/amir1376/ab-download-manager/releases/tag/v1.11.2) — AB Download Manager - [AB Download Manager 修正（#1512）](https://github.com/amir1376/ab-download-manager/commit/34cd27af6a9a6c2046af112bc9bd34828fec0bbc) — AB Download Manager - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-121451) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ab-download-manager-cve-2026-121451-browser-integration-api-csrf-arbitrary-file-write-before-1-11-2