---
title: "cak-filemanagement-system の admin/save_student.php に SQL インジェクション（CVE-2026-119619、CVSS v3.1 7.3）: 認証不要とされ、攻撃手法は公開済み、修正は未確認"
url: https://n-t-p.io/worldsecurity/articles/cak-filemanagement-system-save-student-php-sql-injection-cwe-89-cve-2026-119619-public-poc-no-fix
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 中
cve: CVE-2026-119619
---

# cak-filemanagement-system の admin/save_student.php に SQL インジェクション（CVE-2026-119619、CVSS v3.1 7.3）: 認証不要とされ、攻撃手法は公開済み、修正は未確認

> **TL;DR:** cak-filemanagement-system（コミット 5e64332 まで）の admin/save_student.php に SQL インジェクション（CVE-2026-119619、CVSS v3.1 7.3／v4.0 5.5）。ベクター上は認証不要で、攻撃手法は公開済み。修正は未確認で、リポジトリは 2023 年以降更新なし。KEV なし、EPSS 0.33%、悪用は未確認。

**要点**
- PHP 製の小規模なファイル管理システム cak-filemanagement-system（コミット 5e6433246475e66462e1fea980688de96a049297 まで）の admin/save_student.php で、7 つの引数から SQL インジェクション（CWE-74／89）。ベクター上はネットワーク越し・認証不要・利用者の操作不要
- CVSS は v3.1 が 7.3、v4.0 が 5.5（いずれも VulDB＝CNA の値）。NVD は Deferred で独自評価なし
- 攻撃手法は公開済みと説明にあるが、実際の悪用は未確認。KEV なし、EPSS は 0.33%（2026-11-01 付）
- プロジェクトへの issue（2026-10-12）に回答はなく、修正は未確認。最後の更新は 2023-06-05 で、保守されていない可能性（推定）
- 対策は、使っていないかの確認、外部から到達不能にする、置き換えの検討、WAF での遮断（いずれも推定）

NVD は 2026-10-30 に、GitHub 上で公開されている PHP 製の小規模なファイル管理システム cak-filemanagement-system の SQL インジェクション（CVE-2026-119619）を登録しました。影響を受けるのは admin/save_student.php の mysqli_query を呼ぶ処理で、date・department・subject・forwarded_to・action_taken_by・section・password の各引数が適切に処理されないことが原因です。登録元（CNA）は VulDB で、説明には「リモートから攻撃でき、攻撃手法が公開されており、使われるおそれがある」「プロジェクトには初期に issue で連絡したが、まだ回答がない」と書かれています。CVSS は v3.1 が 7.3、v4.0 が 5.5 です。

## 何が起きるか

- 対象は、GitHub のリポジトリ cak-filemanagement-system の、コミット 5e6433246475e66462e1fea980688de96a049297 までの版です（NVD の説明）。リリース版の番号は付いておらず、「どのコミットから影響を受けるか」は NVD に書かれていません（未確認）。
- admin/save_student.php が受け取る上記の引数を通じて、SQL インジェクション（CWE-74・CWE-89）が起きます。成功すると、データベースの内容の読み取り・書き換え・削除が起きうるというのが、CVSS 上の評価です（機密性・完全性・可用性とも「低」）。
- CVSS のベクターは、ネットワーク越し・低い複雑さ・認証不要・利用者の操作不要（AV:N／AC:L／PR:N／UI:N）です。ただし、ファイル名の admin/ から、管理画面側の処理と考えられます。実際に認証なしで到達できるかは、公開されている情報からは確認できていません。
- 攻撃手法は、NVD の参照先にある GitHub の issue に載っているとされています。本記事では攻撃の詳細は扱いません。

## 修正の状況

- 修正版は確認できていません（2026-11-02 時点）。上記の issue は 2026-10-12 に立てられ、状態は open、コメントは 0 件です。
- リポジトリの最後の更新は 2023-06-05 で、最新コミットが影響を受ける版として挙げられたものと同じです。リリースもなく、保守されているかは疑わしい状態です（推定）。
- 同じ種類の問題が、同じプロジェクトの他のファイルにもある可能性がありますが、これは確認していません。

## 数値と出典（2026-11-02 時点）

| CVE | 箇所 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS |
|---|---|---|---|---|---|---|
| CVE-2026-119619 | admin/save_student.php（mysqli_query） | 不要（ベクター上） | 7.3 | 5.5 | CWE-74／89 | 0.33%（パーセンタイル 26.0%、2026-11-01 付） |

- NVD の状態は Deferred で、NVD 自身の評価はありません。CVSS は VulDB（CNA）の値です。v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L、v4.0 の悪用成熟度は PoC（E:P）です。
- EPSS（FIRST）は 2026-11-02 に取得しました。値は 0.00328 で、悪用される見込みは低い部類です。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得）。

## severity を medium とした理由

認証なしとされ攻撃手法も公開されていますが、影響は CVSS 上「低」が 3 つで、v3.1 は 7.3、v4.0 は 5.5 にとどまります。対象は小規模な個人のプロジェクトで、広く使われている製品ではなく、EPSS も低く、KEV にも載っていません。実際に使っている組織は限られると考えられます（推定）。一方で、修正の見込みが薄く、使っている場合の影響（データの漏えい・改ざん）は小さくないため、軽視はできません。

## 対応として考えられること

1. このシステム（cak-filemanagement-system）を自社や関連部署で使っていないか、社内の Web アプリの一覧で確認します。
2. 使っている場合は、インターネットから到達できないようにし、管理画面（admin/ 以下）を許可した端末だけに絞ります（推定）。
3. 保守されていないため、別のソフトへの置き換えを検討します（推定）。
4. 置き換えまでの間は、Web アプリケーションファイアウォール（WAF）で SQL インジェクションを遮断する設定を入れます（推定）。
5. データベースの接続ユーザーの権限を最小限にし、データのバックアップを取り、不審なアクセスのログがないかを確認します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 修正版・回避策の有無は確認できていません。プロジェクトからの回答もありません。
- 最初に影響を受ける版（コミット）は、NVD には書かれておらず未確認です。
- 実際に認証なしで admin/save_student.php に到達できるかは、公開されている手順の中身を確認しておらず未確認です。
- NVD 自身の評価は未実施（Deferred）です。CVSS は CNA の値です。


## 出典
- [NVD CVE-2026-119619](https://nvd.nist.gov/vuln/detail/CVE-2026-119619) — NIST NVD
- [VulDB 登録情報（CVE-2026-119619）](https://vuldb.com/cve/CVE-2026-119619) — VulDB
- [対象プロジェクトの GitHub リポジトリ](https://github.com/37954679/cak-filemanagement-system) — GitHub
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119619) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/cak-filemanagement-system-save-student-php-sql-injection-cwe-89-cve-2026-119619-public-poc-no-fix