PHP 製の学習管理ソフト CloudClassroom-PHP-Project の facultydetails.php に SQL インジェクション（CVE-2026-121502）: CVSS v3.1 7.3、認証不要、修正版の情報なし

学習管理ソフト CloudClassroom-PHP-Project（GitHub 公開の PHP プロジェクト）に、facultydetails.php の deleteid 引数から SQL インジェクションができる不備（CVE-2026-121502）が、2026-11-03 に NVD へ登録されました。登録元は VulDB で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。

何が起きるか

• 対象は、教員情報を扱う facultydetails.php です。deleteid という引数の値が SQL 文にそのまま組み込まれ、細工した値でデータベースへの問い合わせを書き換えられます（CWE-89、CWE-74）。
• NVD の説明では、攻撃はネットワーク越しに行えます。CVSS のベクターでも認証は不要（PR:N）とされています。ただし、ページ自体がログイン後にしか開けない作りかどうかは確認できていません。
• 攻撃コードは公開されています（VulDB の記載）。
• 開発元には早い段階で連絡されましたが、反応はなかったと VulDB は書いています。

数値と severity

• CVSS v3.1 は 7.3（HIGH）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L です。CVSS v4.0 は 5.5（MEDIUM）です。
• 機密性・完全性・可用性への影響がそれぞれ「低」で、CVSS も 9 未満のため critical にはせず、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• CloudClassroom-PHP-Project。NVD にはコミットの識別子が 3 つ（5dadec09…、c46ce573…、dae0c596…）だけ載っており、版番号はありません。
• このプロジェクトは継続的に更新する方式（ローリングリリース）のため、どこまでが影響範囲かは公表されていません。

対策

• 修正版や公式の回避策は、確認できませんでした。開発元の反応もないとされています。
• 使っている場合は、次のような対応が考えられます（公式の指示ではありません）。
  • 外部から到達できる場所に置かない、または VPN や IP 制限で入れる人を絞る。
  • facultydetails.php へのアクセスを制限する、または WAF で SQL 構文を含む deleteid を遮断する。
  • 自分でコードを直す場合は、プレースホルダー（プリペアドステートメント）を使い、deleteid を整数として検証する。
  • 学習用・検証用のソフトとして置いているだけなら、本番の個人情報と同じ環境で動かさない。

未確認の点

• ページがログインなしで開けるかどうかと、実際に抜き出せるデータの範囲。
• 修正の有無、影響を受ける期間のコミット範囲。
• 実際の悪用の有無。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121502
• VulDB: CVE-2026-121502 / VulDB の登録情報（vuln 430284）
• 公開されている脆弱性の解説（同系統の deleteid SQL インジェクションをまとめた文書）