CloudClassroom-PHP-Project に 2 件（CVE-2026-120341・120342、CVSS v3.1 7.3）: リダイレクト後の処理継続と SQL インジェクション、攻撃手法は公開済み、ベンダー回答・修正は未確認

NVD は 2026-11-02 に、オープンソースの学習管理システム CloudClassroom-PHP-Project（mathurvishal 版）の脆弱性 2 件を登録しました。120341 は studentdetails.php の「リダイレクト後の処理継続（execution after redirect、CWE-698）」、120342 は viewquery.php の引数 eid による SQL インジェクション（CWE-74）です。登録元（CNA）は VulDB で、どちらの説明にも「リモートから攻撃でき、攻撃手法が公開されており、使われるおそれがある」「ベンダーには早い段階で連絡したが、回答がない」とあります。CVSS は 2 件とも v3.1 が 7.3、v4.0 が 5.5 です。

何が起きるか

• 120341: studentdetails.php で、未ログインの利用者をログイン画面などへ移動（リダイレクト）させた後も、サーバー側の処理が止まらずに続く、という種類の欠陥です。その結果、移動先に飛ばされる前の応答に本来見せないはずの情報が含まれる可能性があります。何が見えるかは NVD の説明からは分かりません。
• 120342: viewquery.php の引数 eid の値がそのままデータベースの問い合わせに使われ、SQL インジェクションが成立するとされています。
• CVSS のベクターは 2 件とも、ネットワーク越し・低い複雑さ・認証不要・利用者の操作不要（AV:N／AC:L／PR:N／UI:N）で、機密性・完全性・可用性の影響はすべて「低」です。
• この製品は常に最新版を配る方式（ローリングリリース）で、影響を受ける版・修正された版は NVD に示されていません。
• 攻撃手法は、NVD の参照先にあるコード共有サービスの投稿に載っているとされています。本記事では攻撃の詳細は扱いません。

修正の状況

• 修正版・回避策は確認できていません（2026-11-02 時点）。ベンダーからの回答もないと説明に書かれています。
• 版の区別がないため、「どの時点のコードから影響を受けるか」も確認できていません。

数値と出典（2026-11-02 時点）

CVE	箇所	種類	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-120341	studentdetails.php	リダイレクト後の処理継続	不要（ベクター上）	7.3	5.5	CWE-698	値なし
CVE-2026-120342	viewquery.php（引数 eid）	SQL インジェクション	不要（ベクター上）	7.3	5.5	CWE-74	値なし

• NVD の状態は 2 件とも Received（登録直後）で、NVD 自身の評価はありません。CVSS は VulDB（CNA）の値です。v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L、v4.0 の悪用成熟度は PoC（E:P）です。CVSS v2 は 7.5 です。
• EPSS（FIRST）は 2026-11-02 の時点で 2 件とも値がありません（登録直後のため）。
• KEV（CISA の悪用確認済みカタログ）には掲載がなく、CloudClassroom-PHP-Project も一覧にありません（2026-11-02 取得、2026-10-30 版・1766 件）。

severity を medium とした理由

認証不要とされ攻撃手法も公開されていますが、CVSS 上の影響は 3 項目とも「低」で、v3.1 は 7.3、v4.0 は 5.5 にとどまります。悪用の確認・KEV・EPSS はなく、学習用・個人開発に近いオープンソースで、実際に運用している組織の数も不明です。このため、同じ基準の直近の記事（CVSS 7.3 前後で悪用確認なし）に合わせ、medium としています。

対応として考えられること

1. CloudClassroom-PHP-Project（またはその派生）を、自社や関連部署、学内の検証環境などで動かしていないか確認します。
2. 使っている場合は、インターネットに公開している画面を止めるか、許可した接続元だけに絞ります（推定）。
3. 修正が出るまで、Web アプリケーションファイアウォールなどで viewquery.php への不審な値を拒否します（推定）。
4. データベース接続のアカウントの権限を、必要最小限に絞ります（推定）。
5. ベンダー（プロジェクト）の更新情報を定期的に確認します。修正が見込めない場合は、別の学習管理システムへの置き換えを検討します（推定）。
6. Web サーバーのログで、viewquery.php への異常な値や、studentdetails.php への未ログインのアクセスがないか確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 修正版・回避策の有無は確認できていません。ベンダーからの回答もありません。
• 120341 でどのような情報が漏れるか（NVD の参照先の文書名からは個人情報の可能性が示唆されますが、中身は確認していません）は未確認です。
• 公開されている手順の中身は確認しておらず、実際に認証なしで成立するかは未確認です。
• 影響を受ける版は示されていません。
• NVD 自身の評価は未実施です。CVSS は CNA の値です。