検索NeSC を見る
脆弱性・CVE速報深刻度: 高

.NET 製 EC「CoreShop」1.5.5 までの商品一覧 API に認証不要の SQL インジェクション（CVE-2026-119655）: 修正は master に反映済み、リリース版は未公開

World Security 編集部
目次（6）

CVE-2026-119655

NVD は 2026-10-30（14:16 UTC）に、オープンソースの EC サイト構築ソフト CoreShop の CVE-2026-119655 を登録しました。説明によると、1.5.5 までの api/Good/GetGoodsPageList は、並べ替えを指定する order パラメータを検証せずに ORDER BY へ連結します。認証なしで副問い合わせを差し込め、応答の違いや待ち時間の差から、会員アカウントや注文のデータを少しずつ取り出せます（ブラインド型）。登録元（CNA）は VulnCheck です。同じ原因で api/Agent/GetGoodsPageList 側の CVE-2026-119656 も同時に登録されています。

何が起きるか

  • 商品一覧を返す API が、利用者の渡した order を並べ替えの式としてそのままクエリに使います。使われている ORM（SqlSugar）の項目名チェックは、副問い合わせの形では回避されると説明されています。
  • 攻撃に認証は要りません。インターネットに公開された店舗サイトであれば、外部から到達できます。
  • 影響の中心は情報の漏えいです（会員アカウント・注文）。CNA の評価でも、機密性のみ「高」、完全性・可用性は「なし」です。
  • 実際の悪用は確認していません。攻撃の具体的な手順・細工の内容は本記事には載せません。

修正の状況

  • 公開リポジトリのコミット（2026-10-22 マージ）は、商品一覧の並べ替えが「2024 年に入れた防注入の許可リスト」を通らない別のメソッドに接続されていた誤りを直します。修正後は order が許可リストを通り、式に変換されてからクエリに入ります。
  • このコミットは既定ブランチ（master）に含まれていることを Git の比較で確認しました。ただし、最新のリリースは 1.5.5 のままで、修正を含むリリース版は未公開です（2026-11-01 時点）。
  • Agent 側（CVE-2026-119656）については、同日（2026-10-22）の別コミット（e40085b）が、並べ替え指定の連結をやめて固定の並べ替えにする、と説明しています。こちらも master に含まれますが、動作の検証まではしていません。

数値と出典（2026-11-01 時点）

項目内容
CVECVE-2026-119655（CWE-89 SQL インジェクション）。関連: CVE-2026-119656
影響版CoreShop 1.5.5 まで（CNA の記載）
修正版リリース版なし。修正コミットは master に反映済み（2026-10-22）
CVSS v4.08.7（High、AV:N/AC:L/AT:N/PR:N/UI:N/VC:H）。VulnCheck（CNA）の値
CVSS v3.17.5（High、AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N）。VulnCheck（CNA）の値
評価NVD 自身の評価は未確認（取得時に NVD が応答しなかったため、CNA の記載のみで確認）
EPSS0.34%（パーセンタイル 27.2%、2026-10-31、FIRST）
KEV掲載なし（CISA の JSON で確認）

severity を high とした理由

CNA の評価は 8.7（v4.0）／7.5（v3.1）で、認証不要・ネットワーク経由・低い難度で個人データに届きます。修正を含むリリースがなく、リリース版を使う利用者は自分でコードを取り込むまで直せません。一方で、EPSS は低く、KEV にも載っておらず、影響は情報漏えいに限られるため、critical ではなく high としました。

対応として考えられること

  1. 利用中の版が 1.5.5 以下か確認します。
  2. 修正コミットを含む master を取り込んで再ビルドします。自前でコードを管理していない場合は、リリース版の公開を待つことになります。
  3. 取り込めるまでの間、商品一覧 API（api/Good/GetGoodsPageList、api/Agent/GetGoodsPageList）へ届く order に許可する値（項目名と昇順・降順だけ）を、前段のリバースプロキシや WAF で絞る方法が考えられます（本記事の推定。公式な回避策は未確認）。
  4. 公開中の店舗があれば、該当 API へ不審な order 値が届いていないか、アクセスログを確かめます。

未確認の点

  • 実際の悪用は確認していません。
  • NVD 自身の評価・状態は、取得時に NVD が応答しなかったため確認できていません。CVSS は VulnCheck（CNA）の値です。
  • 1.5.5 より前の版が影響を受けるか、修正を含むリリース版がいつ出るかは確認できていません。
  • CVE-2026-119656（Agent 側）の修正コミットは master に反映済みですが、動作は検証していません。
  • 日付は CVE レコードと GitHub の公開情報に基づきます。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事