--- title: "Campcodes Complete Advance Loan Management System の CVE-2026-122047: banner.php の画像アップロードに制限がなく、認証なしで任意のファイルを置かれる恐れ（1.0・修正版の記載なし・CVSS v3.1 7.3）" url: https://n-t-p.io/worldsecurity/articles/campcodes-loan-management-system-cve-2026-122047-banner-php-unauthenticated-file-upload lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-122047 --- # Campcodes Complete Advance Loan Management System の CVE-2026-122047: banner.php の画像アップロードに制限がなく、認証なしで任意のファイルを置かれる恐れ（1.0・修正版の記載なし・CVSS v3.1 7.3） > **TL;DR:** 貸付管理アプリ Campcodes Complete Advance Loan Management System 1.0 の banner.php で、画像アップロードに制限がなく認証なしで任意のファイルを置かれる恐れ（CVE-2026-122047、CVSS v3.1 7.3・NVD）。研究者はコード実行まで可能と説明。修正版は確認できず、再現は未確認。 **要点** - /loan/application/banner.php の move_uploaded_file に、拡張子などの制限がなく、パラメーター image で任意のファイルをアップロードできる（CWE-434）。 - NVD の CVSS v3.1 は 7.3（AV:N/AC:L/PR:N/UI:N、影響はいずれも低）。認証不要だが 9 未満のため severity 案は high。研究者の自己評価は 9.8（NVD の値ではない）。EPSS は 0.29%、CISA KEV 掲載なし。 - 参照先の研究者の解説では、サーバー側の認証確認がなく、Web から見える bannar/ に元の名前のまま保存されるため、置いたスクリプトを実行できたとされる（本稿では未再現）。 - 対策の例: インターネットから直接届かないようにする、bannar/ でスクリプトを実行させない、不審なファイルとアクセスログを確認する。 - 修正版は確認できず。悪用の実態、実行が成り立つ条件、ベンダーの対応は未確認。 貸付管理の PHP アプリ Campcodes Complete Advance Loan Management System 1.0 に、無制限のファイルアップロード（CWE-434）の欠陥（**CVE-2026-122047**）が NVD に登録されました。登録は 2026-11-04（日本時間 11/5 早朝）で、評価はまだ確定していない状態（Deferred）です。登録元は VulDB（CNA）です。 ## 内容 NVD の記述によると、問題は `/loan/application/banner.php` の `move_uploaded_file` の呼び出しにあり、パラメーター `image` に対する操作で、制限のないファイルアップロードが起きます。遠隔から開始でき、攻撃コードは公開済みで使われうる、と記載されています。 NVD の参照先にあるセキュリティ研究者の解説（2026-09-26 付）には、次の説明があります（本稿は読んだだけで、再現はしていません）。 - このページを認証なしで開ける。ページに含まれる「セッション確認」はブラウザー側の JavaScript による画面遷移だけで、サーバー側の処理が止まらない。 - アップロードされたファイルは、拡張子の検査なしに元の名前のまま、Web から見える `bannar/` フォルダーに保存される。 - 研究者は、ローカルの試験環境（PHP 8.3 と MariaDB）で、置いたファイルがサーバー上で実行されることを確認したと書いています。同じ解説には、研究者自身の評価として CVSS v3.1 9.8 が載っていますが、これは NVD の値ではありません。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1（登録元: VulDB） | **7.3** `AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L` | | CVSS v4.0（登録元: VulDB） | 5.5 | | 研究者による自己評価（参考） | v3.1 9.8（`C:H/I:H/A:H`）。NVD の値ではない | | EPSS（11/5 時点） | 0.29%（順位は下位約 22%） | | CISA KEV | 掲載なし（11/6 確認） | - 認証は不要（PR:N）と評価されています。ただし NVD の点数は 7.3 で 9 に届かないため、severity は **high** を案とします。研究者の説明どおりに任意のコードを実行できるなら、実際の影響は点数より大きい可能性があります。確定はオーナーの判断待ちです。 ## 影響を受ける版と修正 NVD は影響を受ける版を Campcodes Complete Advance Loan Management System 1.0 としています。修正版・ベンダーの告知は確認できませんでした（参照先の Campcodes のサイトは、トップページのみです）。 ## 利用者が考えられること 1. このアプリを使っている場合は、インターネットから直接届かない場所に移すか、IP アドレスで接続元を制限します（認証が働かない恐れがあるため、ネットワーク側での制限が有効です）。 2. `bannar/` フォルダー（アップロード先）で PHP などのスクリプトを実行しない設定にします。Web サーバー側で、このフォルダー内の実行を無効にする方法があります。 3. `bannar/` に、身に覚えのない `.php` などのファイルが置かれていないかを確認します。Web サーバーのログで、`/application/banner.php` への認証なしの POST がないかも見ます。 4. 修正版が出るまで、banner.php を使えないようにする（アクセスを拒否する）ことも考えられます。 ## 未確認の点 - 実際の悪用の有無（攻撃コードが公開されていると NVD は書いていますが、本稿では確認していません）。 - 研究者が書いたコード実行が成り立つ条件（Web サーバーの設定による差を含む）。本稿では再現していません。 - 修正版・ベンダーの対応の有無。1.0 以外の版や、同じ作者の別の製品への影響。 - NVD の最終評価。 ## 出典 - [NVD CVE-2026-122047](https://nvd.nist.gov/vuln/detail/CVE-2026-122047) — NIST NVD - [VulDB CVE-2026-122047](https://vuldb.com/cve/CVE-2026-122047) — VulDB - [研究者の解説（NVD の参照先・2026-09-26 付）](https://tracexlabs.com/releases/campcodes-advance-loan-management-unauth-rce-upload.html) — TraceX Labs - [Campcodes（ベンダーのサイト）](https://www.campcodes.com/) — Campcodes - [FIRST EPSS API（0.29%）](https://api.first.org/data/v1/epss?cve=CVE-2026-122047) — FIRST - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/campcodes-loan-management-system-cve-2026-122047-banner-php-unauthenticated-file-upload