---
title: "動画制作ツール ai-fusion-video 1.3.0 未満で、プロジェクト・素材・脚本の API が他人のデータに届く（CVE-2026-121940）: CVSS v3.1 8.8、要ログイン、修正版あり"
url: https://n-t-p.io/worldsecurity/articles/ai-fusion-video-cve-2026-121940-idor-project-asset-script
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121940
---

# 動画制作ツール ai-fusion-video 1.3.0 未満で、プロジェクト・素材・脚本の API が他人のデータに届く（CVE-2026-121940）: CVSS v3.1 8.8、要ログイン、修正版あり

> **TL;DR:** 動画制作ツール ai-fusion-video 1.3.0 未満で、/api/project・/api/asset・/api/script が連番 ID の持ち主を確かめず、ログイン済みの一般ユーザーが他人のプロジェクトを読み取り・上書き・削除できる（CVE-2026-121940、CWE-639、CVSS v3.1 8.8）。1.3.0 で修正。

**要点**
- 連番の ID を順に試すだけで、他人のプロジェクト・素材・脚本の読み取り、上書き、削除ができ、メンバーに自分を追加できる（CVE-2026-121940）。
- CVSS v3.1 は 8.8。要ログイン（PR:L）で 9 未満のため severity は high。
- 1.3.0 で修正されたとされる。1.3.0 より前の版は更新が必要。
- 更新できない間は利用者と公開範囲を絞る。悪用の有無は未確認。

動画制作ツール ai-fusion-video の 1.3.0 より前の版に、他のユーザーのデータへ届いてしまう認可の不備（IDOR、CVE-2026-121940）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

## 何が起きるか
- ログイン済みの一般ユーザーが、`/api/project`・`/api/asset`・`/api/script` の各処理に、自分のものではないオブジェクト ID を渡すと、他人のプロジェクトに届きます（CWE-639）。
- ID が連番のため、順に試すだけで他人のデータを探せます。読み取り、上書き、関連データごとの削除ができ、プロジェクトのメンバーに自分を追加することもできます。
- 攻撃にはログイン（一般権限）が必要です。このため CVSS では権限が「低」（PR:L）とされています。

## 数値と severity
- CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.7（HIGH）です。
- 認証が必要で 9 未満のため、severity は high とします。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。

## 影響を受ける製品と修正
- ai-fusion-video 1.3.0 より前のすべての版。
- 修正は 1.3.0 で入ったとされています。修正コミットと GitHub の issue、研究者の解説記事が公開されています。

## 対策
- ai-fusion-video を 1.3.0 以降に更新する。
- すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。
  - 利用者を信頼できる人だけに絞り、外部からのアクセスを制限する。
  - 外部に公開している場合は、リバースプロキシなどで `/api/project`・`/api/asset`・`/api/script` へのアクセスを絞る。
  - 連番 ID を順に叩くような大量のアクセスがないか、ログを確認する。

## 未確認の点
- 悪用の有無。解説記事は公開されていますが、攻撃コードの内容と公開状況は確認していません。
- 1.3.0 でどこまで直っているか（ほかの処理に同種の不備が残らないか）。
- 実際にインターネットへ公開されている環境の数。
- 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。

## 出典
- NVD: CVE-2026-121940
- VulnCheck: stonewuu-ai-fusion-video-before-1.3.0-idor-via-project-asset-and-script-controllers
- 修正コミット 4724a1a / GitHub issue #69 / 研究者の解説記事


## 出典
- [NVD CVE-2026-121940](https://nvd.nist.gov/vuln/detail/CVE-2026-121940) — NIST NVD
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/stonewuu-ai-fusion-video-before-1.3.0-idor-via-project-asset-and-script-controllers) — VulnCheck
- [修正コミット 4724a1a](https://github.com/Stonewuu/ai-fusion-video/commit/4724a1a4173171c3d4d067f38840a6093a8c4d46) — GitHub
- [GitHub issue #69](https://github.com/Stonewuu/ai-fusion-video/issues/69) — GitHub
- [研究者の解説記事（HackMD）](https://hackmd.io/@hieuPenguinnn/ai-fusion-video-idor-bola-project-asset) — HackMD

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ai-fusion-video-cve-2026-121940-idor-project-asset-script