--- title: "配達プラットフォーム CoopCycle の coopcycle-web 6.20.1 未満で、配達員が他店の注文を書き換えられる（CVE-2026-121945）: CVSS v3.1 7.6、要ログイン、修正版あり" url: https://n-t-p.io/worldsecurity/articles/coopcycle-web-cve-2026-121945-courier-incident-bola lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121945 --- # 配達プラットフォーム CoopCycle の coopcycle-web 6.20.1 未満で、配達員が他店の注文を書き換えられる（CVE-2026-121945）: CVSS v3.1 7.6、要ログイン、修正版あり > **TL;DR:** 配達プラットフォーム CoopCycle の coopcycle-web 6.20.1 未満で、インシデント操作が配達員の権限しか確かめず、ログイン済みの配達員が他店の注文・タスクの価格変更や取り消しをできる（CVE-2026-121945、CWE-639、CVSS v3.1 7.6）。6.20.1 で修正。 **要点** - インシデントの ID は連番で、配達員なら誰でも全店分を読み書きでき、他店の注文・タスクの価格変更、取り消し、日時変更ができる（CVE-2026-121945）。 - CVSS v3.1 は 7.6。要ログイン（PR:L）で 9 未満のため severity は high。 - 6.20.1 で修正されたとされる。それより前の版は更新が必要。 - 更新できない間は配達員アカウントと公開範囲を絞る。悪用の有無は未確認。 配達プラットフォーム CoopCycle の Web 側（coopcycle-web）の 6.20.1 より前の版に、認可の不備（CVE-2026-121945）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。 ## 何が起きるか - 「インシデント」（配達中の問題報告）の操作が、ROLE_COURIER（配達員の権限）だけを確認しています。どの店・どの注文のインシデントかは確かめません（CWE-639）。 - このため、ログイン済みの配達員なら誰でも、全店のインシデントを読み取り、書き換えられます。 - インシデント ID は連番で、順に試すだけで他の店の分も探せます。 - `PUT /api/incidents/{id}/action` を使うと、他の店の注文やタスクの価格を付け直したり、取り消したり、日時を変えたりできます。 - 攻撃には配達員としてのログインが必要です。CVSS では権限が「低」（PR:L）です。 ## 数値と severity - CVSS v3.1 は 7.6（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L です。CVSS v4.0 は 7.2（HIGH）です。 - 認証が必要で 9 未満のため、severity は high とします。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品と修正 - coopcycle-web 6.20.1 より前のすべての版。 - 修正は 6.20.1 で入ったとされています。修正コミットと GitHub の issue、研究者の解説記事が公開されています。 ## 対策 - coopcycle-web を 6.20.1 以降に更新する。 - すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。 - 配達員アカウントを信頼できる人に絞り、不要なアカウントを無効にする。 - リバースプロキシなどで `/api/incidents` へのアクセスを絞る。 - 連番 ID を順に叩くようなアクセスや、見覚えのない価格変更・取り消しがないか、ログと注文履歴を確認する。 ## 未確認の点 - 悪用の有無。解説記事は公開されていますが、攻撃コードの内容と公開状況は確認していません。 - 6.20.1 でどこまで直っているか（ほかの処理に同種の不備が残らないか）。 - 実際にインターネットへ公開されている環境の数。 - 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121945 - VulnCheck: coopcycle-coopcycle-web-before-6.20.1-idor-via-incident-resource-and-action-endpoint - 修正コミット d997393 / GitHub issue #5390 / 研究者の解説記事 ## 出典 - [NVD CVE-2026-121945](https://nvd.nist.gov/vuln/detail/CVE-2026-121945) — NIST NVD - [VulnCheck Advisory](https://www.vulncheck.com/advisories/coopcycle-coopcycle-web-before-6.20.1-idor-via-incident-resource-and-action-endpoint) — VulnCheck - [修正コミット d997393](https://github.com/coopcycle/coopcycle-web/commit/d997393d128afa1febe34e8f295b9511c12d19a0) — GitHub - [GitHub issue #5390](https://github.com/coopcycle/coopcycle-web/issues/5390) — GitHub - [研究者の解説記事（HackMD）](https://hackmd.io/@hieund/coopcycle-incident-courier-cross-tenant-bola) — HackMD --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/coopcycle-web-cve-2026-121945-courier-incident-bola