動画制作ツール ai-fusion-video 1.3.0 未満で、プロジェクト・素材・脚本の API が他人のデータに届く（CVE-2026-121940）: CVSS v3.1 8.8、要ログイン、修正版あり

動画制作ツール ai-fusion-video の 1.3.0 より前の版に、他のユーザーのデータへ届いてしまう認可の不備（IDOR、CVE-2026-121940）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

何が起きるか

• ログイン済みの一般ユーザーが、/api/project・/api/asset・/api/script の各処理に、自分のものではないオブジェクト ID を渡すと、他人のプロジェクトに届きます（CWE-639）。
• ID が連番のため、順に試すだけで他人のデータを探せます。読み取り、上書き、関連データごとの削除ができ、プロジェクトのメンバーに自分を追加することもできます。
• 攻撃にはログイン（一般権限）が必要です。このため CVSS では権限が「低」（PR:L）とされています。

数値と severity

• CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.7（HIGH）です。
• 認証が必要で 9 未満のため、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品と修正

• ai-fusion-video 1.3.0 より前のすべての版。
• 修正は 1.3.0 で入ったとされています。修正コミットと GitHub の issue、研究者の解説記事が公開されています。

対策

• ai-fusion-video を 1.3.0 以降に更新する。
• すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。
  • 利用者を信頼できる人だけに絞り、外部からのアクセスを制限する。
  • 外部に公開している場合は、リバースプロキシなどで /api/project・/api/asset・/api/script へのアクセスを絞る。
  • 連番 ID を順に叩くような大量のアクセスがないか、ログを確認する。

未確認の点

• 悪用の有無。解説記事は公開されていますが、攻撃コードの内容と公開状況は確認していません。
• 1.3.0 でどこまで直っているか（ほかの処理に同種の不備が残らないか）。
• 実際にインターネットへ公開されている環境の数。
• 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121940
• VulnCheck: stonewuu-ai-fusion-video-before-1.3.0-idor-via-project-asset-and-script-controllers
• 修正コミット 4724a1a / GitHub issue #69 / 研究者の解説記事