---
title: ".NET 製 EC「CoreShop」1.5.5 までの商品一覧 API に認証不要の SQL インジェクション（CVE-2026-119655）: 修正は master に反映済み、リリース版は未公開"
url: https://n-t-p.io/worldsecurity/articles/coreshop-getgoodspagelist-order-param-sql-injection-cwe-89-cve-2026-119655-fix-committed-no-release
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-119655
---

# .NET 製 EC「CoreShop」1.5.5 までの商品一覧 API に認証不要の SQL インジェクション（CVE-2026-119655）: 修正は master に反映済み、リリース版は未公開

> **TL;DR:** .NET 製のオープンソース EC「CoreShop」1.5.5 までで、商品一覧 API の order パラメータが検証されず、認証なしの SQL インジェクションで会員・注文データを取り出せる（CVE-2026-119655、CWE-89）。修正は master に反映済みだがリリース版は未公開。CVSS v4.0 は 8.7（VulnCheck）、EPSS 0.34%、KEV なし。

**要点**
- CoreShop 1.5.5 までの api/Good/GetGoodsPageList が、order パラメータを検証せずに ORDER BY へ連結する（CWE-89）。同じ原因の CVE-2026-119656（Agent 側）も同時登録。Agent 側の別コミット（e40085b, 10/22）も master に反映済み
- 認証不要・ネットワーク経由。ブラインド型で会員アカウントや注文のデータを取り出せる。影響は機密性のみ（CNA の評価）
- 修正コミット（2026-10-22）は master に含まれるが、最新リリースは 1.5.5 のままで修正版は未公開
- CVSS v4.0 は 8.7、v3.1 は 7.5（いずれも VulnCheck の値）。EPSS 0.34%、KEV なし
- 実際の悪用、リリース版の時期は未確認

NVD は 2026-10-30（14:16 UTC）に、オープンソースの EC サイト構築ソフト CoreShop の CVE-2026-119655 を登録しました。説明によると、1.5.5 までの `api/Good/GetGoodsPageList` は、並べ替えを指定する `order` パラメータを検証せずに `ORDER BY` へ連結します。認証なしで副問い合わせを差し込め、応答の違いや待ち時間の差から、会員アカウントや注文のデータを少しずつ取り出せます（ブラインド型）。登録元（CNA）は VulnCheck です。同じ原因で `api/Agent/GetGoodsPageList` 側の CVE-2026-119656 も同時に登録されています。

## 何が起きるか

- 商品一覧を返す API が、利用者の渡した `order` を並べ替えの式としてそのままクエリに使います。使われている ORM（SqlSugar）の項目名チェックは、副問い合わせの形では回避されると説明されています。
- 攻撃に認証は要りません。インターネットに公開された店舗サイトであれば、外部から到達できます。
- 影響の中心は情報の漏えいです（会員アカウント・注文）。CNA の評価でも、機密性のみ「高」、完全性・可用性は「なし」です。
- 実際の悪用は確認していません。攻撃の具体的な手順・細工の内容は本記事には載せません。

## 修正の状況

- 公開リポジトリのコミット（2026-10-22 マージ）は、商品一覧の並べ替えが「2024 年に入れた防注入の許可リスト」を通らない別のメソッドに接続されていた誤りを直します。修正後は `order` が許可リストを通り、式に変換されてからクエリに入ります。
- このコミットは既定ブランチ（master）に含まれていることを Git の比較で確認しました。ただし、最新のリリースは 1.5.5 のままで、**修正を含むリリース版は未公開**です（2026-11-01 時点）。
- `Agent` 側（CVE-2026-119656）については、同日（2026-10-22）の別コミット（e40085b）が、並べ替え指定の連結をやめて固定の並べ替えにする、と説明しています。こちらも master に含まれますが、動作の検証まではしていません。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119655（CWE-89 SQL インジェクション）。関連: CVE-2026-119656 |
| 影響版 | CoreShop 1.5.5 まで（CNA の記載） |
| 修正版 | リリース版なし。修正コミットは master に反映済み（2026-10-22） |
| CVSS v4.0 | 8.7（High、AV:N/AC:L/AT:N/PR:N/UI:N/VC:H）。VulnCheck（CNA）の値 |
| CVSS v3.1 | 7.5（High、AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N）。VulnCheck（CNA）の値 |
| 評価 | NVD 自身の評価は未確認（取得時に NVD が応答しなかったため、CNA の記載のみで確認） |
| EPSS | 0.34%（パーセンタイル 27.2%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を high とした理由

CNA の評価は 8.7（v4.0）／7.5（v3.1）で、認証不要・ネットワーク経由・低い難度で個人データに届きます。修正を含むリリースがなく、リリース版を使う利用者は自分でコードを取り込むまで直せません。一方で、EPSS は低く、KEV にも載っておらず、影響は情報漏えいに限られるため、critical ではなく high としました。

## 対応として考えられること

1. 利用中の版が 1.5.5 以下か確認します。
2. 修正コミットを含む master を取り込んで再ビルドします。自前でコードを管理していない場合は、リリース版の公開を待つことになります。
3. 取り込めるまでの間、商品一覧 API（`api/Good/GetGoodsPageList`、`api/Agent/GetGoodsPageList`）へ届く `order` に許可する値（項目名と昇順・降順だけ）を、前段のリバースプロキシや WAF で絞る方法が考えられます（本記事の推定。公式な回避策は未確認）。
4. 公開中の店舗があれば、該当 API へ不審な `order` 値が届いていないか、アクセスログを確かめます。

## 未確認の点

- 実際の悪用は確認していません。
- NVD 自身の評価・状態は、取得時に NVD が応答しなかったため確認できていません。CVSS は VulnCheck（CNA）の値です。
- 1.5.5 より前の版が影響を受けるか、修正を含むリリース版がいつ出るかは確認できていません。
- CVE-2026-119656（Agent 側）の修正コミットは master に反映済みですが、動作は検証していません。
- 日付は CVE レコードと GitHub の公開情報に基づきます。


## 出典
- [CVE-2026-119655 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-119655) — CVE Program
- [NVD CVE-2026-119655](https://nvd.nist.gov/vuln/detail/CVE-2026-119655) — NIST NVD
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/coreshop-through-1.5.5-sql-injection-via-order-parameter-in-getgoodspagelist) — VulnCheck
- [CoreShop 脆弱性報告 Issue #20](https://github.com/CoreUnion/CoreShop/issues/20) — GitHub
- [CoreShop 修正コミット 0453011](https://github.com/CoreUnion/CoreShop/commit/0453011fe2a5abc4c202894ed1d9e87b2accc9e4) — GitHub
- [CVE-2026-119656 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-119656) — CVE Program
- [FIRST EPSS CVE-2026-119655](https://api.first.org/data/v1/epss?cve=CVE-2026-119655) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/coreshop-getgoodspagelist-order-param-sql-injection-cwe-89-cve-2026-119655-fix-committed-no-release