Campcodes Complete Advance Loan Management System の CVE-2026-122047: banner.php の画像アップロードに制限がなく、認証なしで任意のファイルを置かれる恐れ（1.0・修正版の記載なし・CVSS v3.1 7.3）

貸付管理の PHP アプリ Campcodes Complete Advance Loan Management System 1.0 に、無制限のファイルアップロード（CWE-434）の欠陥（CVE-2026-122047）が NVD に登録されました。登録は 2026-11-04（日本時間 11/5 早朝）で、評価はまだ確定していない状態（Deferred）です。登録元は VulDB（CNA）です。

内容

NVD の記述によると、問題は /loan/application/banner.php の move_uploaded_file の呼び出しにあり、パラメーター image に対する操作で、制限のないファイルアップロードが起きます。遠隔から開始でき、攻撃コードは公開済みで使われうる、と記載されています。

NVD の参照先にあるセキュリティ研究者の解説（2026-09-26 付）には、次の説明があります（本稿は読んだだけで、再現はしていません）。

• このページを認証なしで開ける。ページに含まれる「セッション確認」はブラウザー側の JavaScript による画面遷移だけで、サーバー側の処理が止まらない。
• アップロードされたファイルは、拡張子の検査なしに元の名前のまま、Web から見える bannar/ フォルダーに保存される。
• 研究者は、ローカルの試験環境（PHP 8.3 と MariaDB）で、置いたファイルがサーバー上で実行されることを確認したと書いています。同じ解説には、研究者自身の評価として CVSS v3.1 9.8 が載っていますが、これは NVD の値ではありません。

評価

指標	値
CVSS v3.1（登録元: VulDB）	7.3 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS v4.0（登録元: VulDB）	5.5
研究者による自己評価（参考）	v3.1 9.8（C:H/I:H/A:H）。NVD の値ではない
EPSS（11/5 時点）	0.29%（順位は下位約 22%）
CISA KEV	掲載なし（11/6 確認）

• 認証は不要（PR:N）と評価されています。ただし NVD の点数は 7.3 で 9 に届かないため、severity は high を案とします。研究者の説明どおりに任意のコードを実行できるなら、実際の影響は点数より大きい可能性があります。確定はオーナーの判断待ちです。

影響を受ける版と修正

NVD は影響を受ける版を Campcodes Complete Advance Loan Management System 1.0 としています。修正版・ベンダーの告知は確認できませんでした（参照先の Campcodes のサイトは、トップページのみです）。

利用者が考えられること

1. このアプリを使っている場合は、インターネットから直接届かない場所に移すか、IP アドレスで接続元を制限します（認証が働かない恐れがあるため、ネットワーク側での制限が有効です）。
2. bannar/ フォルダー（アップロード先）で PHP などのスクリプトを実行しない設定にします。Web サーバー側で、このフォルダー内の実行を無効にする方法があります。
3. bannar/ に、身に覚えのない .php などのファイルが置かれていないかを確認します。Web サーバーのログで、/application/banner.php への認証なしの POST がないかも見ます。
4. 修正版が出るまで、banner.php を使えないようにする（アクセスを拒否する）ことも考えられます。

未確認の点

• 実際の悪用の有無（攻撃コードが公開されていると NVD は書いていますが、本稿では確認していません）。
• 研究者が書いたコード実行が成り立つ条件（Web サーバーの設定による差を含む）。本稿では再現していません。
• 修正版・ベンダーの対応の有無。1.0 以外の版や、同じ作者の別の製品への影響。
• NVD の最終評価。