cak-filemanagement-system の admin/save_student.php に SQL インジェクション（CVE-2026-119619、CVSS v3.1 7.3）: 認証不要とされ、攻撃手法は公開済み、修正は未確認

NVD は 2026-10-30 に、GitHub 上で公開されている PHP 製の小規模なファイル管理システム cak-filemanagement-system の SQL インジェクション（CVE-2026-119619）を登録しました。影響を受けるのは admin/save_student.php の mysqli_query を呼ぶ処理で、date・department・subject・forwarded_to・action_taken_by・section・password の各引数が適切に処理されないことが原因です。登録元（CNA）は VulDB で、説明には「リモートから攻撃でき、攻撃手法が公開されており、使われるおそれがある」「プロジェクトには初期に issue で連絡したが、まだ回答がない」と書かれています。CVSS は v3.1 が 7.3、v4.0 が 5.5 です。

何が起きるか

• 対象は、GitHub のリポジトリ cak-filemanagement-system の、コミット 5e6433246475e66462e1fea980688de96a049297 までの版です（NVD の説明）。リリース版の番号は付いておらず、「どのコミットから影響を受けるか」は NVD に書かれていません（未確認）。
• admin/save_student.php が受け取る上記の引数を通じて、SQL インジェクション（CWE-74・CWE-89）が起きます。成功すると、データベースの内容の読み取り・書き換え・削除が起きうるというのが、CVSS 上の評価です（機密性・完全性・可用性とも「低」）。
• CVSS のベクターは、ネットワーク越し・低い複雑さ・認証不要・利用者の操作不要（AV:N／AC:L／PR:N／UI:N）です。ただし、ファイル名の admin/ から、管理画面側の処理と考えられます。実際に認証なしで到達できるかは、公開されている情報からは確認できていません。
• 攻撃手法は、NVD の参照先にある GitHub の issue に載っているとされています。本記事では攻撃の詳細は扱いません。

修正の状況

• 修正版は確認できていません（2026-11-02 時点）。上記の issue は 2026-10-12 に立てられ、状態は open、コメントは 0 件です。
• リポジトリの最後の更新は 2023-06-05 で、最新コミットが影響を受ける版として挙げられたものと同じです。リリースもなく、保守されているかは疑わしい状態です（推定）。
• 同じ種類の問題が、同じプロジェクトの他のファイルにもある可能性がありますが、これは確認していません。

数値と出典（2026-11-02 時点）

CVE	箇所	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-119619	admin/save_student.php（mysqli_query）	不要（ベクター上）	7.3	5.5	CWE-74／89	0.33%（パーセンタイル 26.0%、2026-11-01 付）

• NVD の状態は Deferred で、NVD 自身の評価はありません。CVSS は VulDB（CNA）の値です。v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L、v4.0 の悪用成熟度は PoC（E:P）です。
• EPSS（FIRST）は 2026-11-02 に取得しました。値は 0.00328 で、悪用される見込みは低い部類です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得）。

severity を medium とした理由

認証なしとされ攻撃手法も公開されていますが、影響は CVSS 上「低」が 3 つで、v3.1 は 7.3、v4.0 は 5.5 にとどまります。対象は小規模な個人のプロジェクトで、広く使われている製品ではなく、EPSS も低く、KEV にも載っていません。実際に使っている組織は限られると考えられます（推定）。一方で、修正の見込みが薄く、使っている場合の影響（データの漏えい・改ざん）は小さくないため、軽視はできません。

対応として考えられること

1. このシステム（cak-filemanagement-system）を自社や関連部署で使っていないか、社内の Web アプリの一覧で確認します。
2. 使っている場合は、インターネットから到達できないようにし、管理画面（admin/ 以下）を許可した端末だけに絞ります（推定）。
3. 保守されていないため、別のソフトへの置き換えを検討します（推定）。
4. 置き換えまでの間は、Web アプリケーションファイアウォール（WAF）で SQL インジェクションを遮断する設定を入れます（推定）。
5. データベースの接続ユーザーの権限を最小限にし、データのバックアップを取り、不審なアクセスのログがないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 修正版・回避策の有無は確認できていません。プロジェクトからの回答もありません。
• 最初に影響を受ける版（コミット）は、NVD には書かれておらず未確認です。
• 実際に認証なしで admin/save_student.php に到達できるかは、公開されている手順の中身を確認しておらず未確認です。
• NVD 自身の評価は未実施（Deferred）です。CVSS は CNA の値です。