--- title: "PHP 製の学習管理ソフト CloudClassroom-PHP-Project の facultydetails.php に SQL インジェクション（CVE-2026-121502）: CVSS v3.1 7.3、認証不要、修正版の情報なし" url: https://n-t-p.io/worldsecurity/articles/cloudclassroom-php-project-cve-2026-121502-facultydetails-sql-injection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121502 --- # PHP 製の学習管理ソフト CloudClassroom-PHP-Project の facultydetails.php に SQL インジェクション（CVE-2026-121502）: CVSS v3.1 7.3、認証不要、修正版の情報なし > **TL;DR:** 学習管理ソフト CloudClassroom-PHP-Project の facultydetails.php で deleteid 引数から SQL インジェクションができる（CVE-2026-121502、CWE-89、CVSS v3.1 7.3）。認証不要とされ、攻撃コードは公開。修正版の情報はなく、開発元の反応もない。 **要点** - facultydetails.php の deleteid 引数が SQL 文にそのまま使われ、ネットワーク越しにデータベースへの問い合わせを書き換えられる（CVE-2026-121502）。 - CVSS v3.1 は 7.3。認証不要とされるが影響は低・低・低のため severity は high。ページにログインが要るかは未確認。 - 攻撃コードは公開済み。開発元には連絡されたが反応はなく、修正版・回避策の情報はない。 - 使っている場合は外部公開をやめ、アクセス制限や WAF、プレースホルダー化を検討する。悪用の有無は未確認。 学習管理ソフト CloudClassroom-PHP-Project（GitHub 公開の PHP プロジェクト）に、`facultydetails.php` の `deleteid` 引数から SQL インジェクションができる不備（CVE-2026-121502）が、2026-11-03 に NVD へ登録されました。登録元は VulDB で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。 ## 何が起きるか - 対象は、教員情報を扱う `facultydetails.php` です。`deleteid` という引数の値が SQL 文にそのまま組み込まれ、細工した値でデータベースへの問い合わせを書き換えられます（CWE-89、CWE-74）。 - NVD の説明では、攻撃はネットワーク越しに行えます。CVSS のベクターでも認証は不要（PR:N）とされています。ただし、ページ自体がログイン後にしか開けない作りかどうかは確認できていません。 - 攻撃コードは公開されています（VulDB の記載）。 - 開発元には早い段階で連絡されましたが、反応はなかったと VulDB は書いています。 ## 数値と severity - CVSS v3.1 は 7.3（HIGH）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L です。CVSS v4.0 は 5.5（MEDIUM）です。 - 機密性・完全性・可用性への影響がそれぞれ「低」で、CVSS も 9 未満のため critical にはせず、severity は high とします。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品 - CloudClassroom-PHP-Project。NVD にはコミットの識別子が 3 つ（5dadec09…、c46ce573…、dae0c596…）だけ載っており、版番号はありません。 - このプロジェクトは継続的に更新する方式（ローリングリリース）のため、どこまでが影響範囲かは公表されていません。 ## 対策 - 修正版や公式の回避策は、確認できませんでした。開発元の反応もないとされています。 - 使っている場合は、次のような対応が考えられます（公式の指示ではありません）。 - 外部から到達できる場所に置かない、または VPN や IP 制限で入れる人を絞る。 - `facultydetails.php` へのアクセスを制限する、または WAF で SQL 構文を含む `deleteid` を遮断する。 - 自分でコードを直す場合は、プレースホルダー（プリペアドステートメント）を使い、`deleteid` を整数として検証する。 - 学習用・検証用のソフトとして置いているだけなら、本番の個人情報と同じ環境で動かさない。 ## 未確認の点 - ページがログインなしで開けるかどうかと、実際に抜き出せるデータの範囲。 - 修正の有無、影響を受ける期間のコミット範囲。 - 実際の悪用の有無。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121502 - VulDB: CVE-2026-121502 / VulDB の登録情報（vuln 430284） - 公開されている脆弱性の解説（同系統の `deleteid` SQL インジェクションをまとめた文書） ## 出典 - [NVD CVE-2026-121502](https://nvd.nist.gov/vuln/detail/CVE-2026-121502) — NIST NVD - [VulDB CVE-2026-121502](https://vuldb.com/cve/CVE-2026-121502) — VulDB - [VulDB vuln 430284](https://vuldb.com/vuln/430284) — VulDB --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/cloudclassroom-php-project-cve-2026-121502-facultydetails-sql-injection