配達プラットフォーム CoopCycle の coopcycle-web 6.20.1 未満で、配達員が他店の注文を書き換えられる（CVE-2026-121945）: CVSS v3.1 7.6、要ログイン、修正版あり

配達プラットフォーム CoopCycle の Web 側（coopcycle-web）の 6.20.1 より前の版に、認可の不備（CVE-2026-121945）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

何が起きるか

• 「インシデント」（配達中の問題報告）の操作が、ROLE_COURIER（配達員の権限）だけを確認しています。どの店・どの注文のインシデントかは確かめません（CWE-639）。
• このため、ログイン済みの配達員なら誰でも、全店のインシデントを読み取り、書き換えられます。
• インシデント ID は連番で、順に試すだけで他の店の分も探せます。
• PUT /api/incidents/{id}/action を使うと、他の店の注文やタスクの価格を付け直したり、取り消したり、日時を変えたりできます。
• 攻撃には配達員としてのログインが必要です。CVSS では権限が「低」（PR:L）です。

数値と severity

• CVSS v3.1 は 7.6（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L です。CVSS v4.0 は 7.2（HIGH）です。
• 認証が必要で 9 未満のため、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品と修正

• coopcycle-web 6.20.1 より前のすべての版。
• 修正は 6.20.1 で入ったとされています。修正コミットと GitHub の issue、研究者の解説記事が公開されています。

対策

• coopcycle-web を 6.20.1 以降に更新する。
• すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。
  • 配達員アカウントを信頼できる人に絞り、不要なアカウントを無効にする。
  • リバースプロキシなどで /api/incidents へのアクセスを絞る。
  • 連番 ID を順に叩くようなアクセスや、見覚えのない価格変更・取り消しがないか、ログと注文履歴を確認する。

未確認の点

• 悪用の有無。解説記事は公開されていますが、攻撃コードの内容と公開状況は確認していません。
• 6.20.1 でどこまで直っているか（ほかの処理に同種の不備が残らないか）。
• 実際にインターネットへ公開されている環境の数。
• 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121945
• VulnCheck: coopcycle-coopcycle-web-before-6.20.1-idor-via-incident-resource-and-action-endpoint
• 修正コミット d997393 / GitHub issue #5390 / 研究者の解説記事