--- title: "Craft CMS の要素検索エンドポイントに認証なしの SQL インジェクション、管理者権限の奪取に至る恐れ（CVE-2026-123488・4.0.0〜4.18.9 より前／5.0.0〜5.11.2 より前）" url: https://n-t-p.io/worldsecurity/articles/craft-cms-element-search-sql-injection-cve-2026-123488 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-123488 --- # Craft CMS の要素検索エンドポイントに認証なしの SQL インジェクション、管理者権限の奪取に至る恐れ（CVE-2026-123488・4.0.0〜4.18.9 より前／5.0.0〜5.11.2 より前） > **TL;DR:** Craft CMS 4.0.0 以上 4.18.9 より前、5.0.0 以上 5.11.2 より前の要素検索エンドポイントで、attribute パラメーターが無害化されずクエリに連結され、認証なしの攻撃者がデータベースの読み書きや管理者権限の奪取をできる恐れ（CVE-2026-123488・CVSS v3.1 9.8）。4.18.9・5.11.2 で修正。 **要点** - NVD は 2026-11-06、Craft CMS 4.0.0 以上 4.18.9 より前と 5.0.0 以上 5.11.2 より前の CVE-2026-123488 を登録（CWE-89）。要素検索エンドポイントの attribute パラメーターが無害化されずにクエリへ連結され、PDO のエミュレートされたプリペアドにより複数の文を続けて実行できる。 - 認証なしの攻撃者が、データベースを読み書きでき、ユーザー ID 1 の管理者フラグを立てる、任意アカウントのパスワードハッシュを上書きするといった形で管理者権限を得られる恐れ。 - CVSS v3.1 は 9.8（VulnCheck の登録、NVD 上は Primary）。認証不要で 9.0 以上のため severity 案は critical。開発元の GitHub 勧告は High。EPSS は未算出、CISA KEV に掲載は確認できず。 - 修正は 4.18.9 と 5.11.2（リリースは 2026-09-17 付け）。更新を検討。回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。 コンテンツ管理システム **Craft CMS** の要素検索エンドポイントに、**認証なしで悪用できる SQL インジェクション**（**CVE-2026-123488**）が登録されました。CVSS v3.1 は **9.8**（CRITICAL）です。対象は **4.0.0 以上 4.18.9 より前**と **5.0.0 以上 5.11.2 より前**で、それぞれ **4.18.9・5.11.2 で修正**されたと記載されています。 ## 内容 GitHub のセキュリティ勧告（GHSA-qcvp-ggx3-97r6）と、NVD に登録された CVE の記述（2026-11-06 公開、VulnCheck が登録）では、次のとおりです。 - 要素検索エンドポイントで、`attribute` パラメーターが**無害化されないままクエリに連結**されます。 - PDO が**エミュレートされたプリペアド**で動くため、**複数の文を続けて実行（stacked statements）**できます。 - **認証なしの攻撃者**が、データベースの**読み取りと書き込み**をできます。勧告には、users テーブルのユーザー ID 1 の管理者フラグを立てて、読み戻して確認したと書かれています。Craft は権限チェックをこの 1 つの列で省略するため、ほかの変更は要らなかったとのことです。 - 同じ手口で、**任意のアカウントのパスワードハッシュを上書き**することもできるとされています。 攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.1（VulnCheck の登録・NVD 上は Primary） | **9.8** `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H` | | CVSS v4.0（VulnCheck の登録） | **9.3** | | CWE | CWE-89（SQL インジェクション） | | 開発元（GitHub 勧告）の深刻度 | **High**（CVE ID は勧告の時点で「No known CVE」） | | NVD 登録 | 2026-11-06（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） | | EPSS（FIRST・11/7 時点） | 値なし（未算出） | | CISA KEV | 掲載は確認できず（11/7 取得） | 認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。開発元の勧告は High で、CVSS の数値を出していません。評価の食い違いは、そのままお伝えします。 ## 影響を受ける版と対処 - 影響: **Craft CMS 4.0.0 以上 4.18.9 より前**、および **5.0.0 以上 5.11.2 より前**。 - 対処: **4.18.9** または **5.11.2** 以降へ更新します。両方のリリースノートに、GHSA-qcvp-ggx3-97r6 を「権限昇格の脆弱性（high-severity）」として修正した旨があります。リリースは 2026-09-17 付けです。 - 回避策・緩和策の記載は、確認できた範囲では見つかっていません。 ## 利用者が考えられること 1. 運用中の Craft CMS が 4.x なら 4.18.9 以降、5.x なら 5.11.2 以降かを確認します。 2. 古い場合は更新します。更新できない間は、要素検索エンドポイントへの外部からのアクセスを制限することを検討します（効果は未確認）。 3. users テーブルの管理者フラグ、管理者アカウントの追加、パスワードハッシュの不審な変更がないか確認します。 ## 未確認の点 - 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。 - 要素検索エンドポイントの具体的な名称と、成立する構成の条件。 - 回避策・緩和策の有無（更新までの暫定対処の効果）。 - 利用規模、4.0.0 より前の版への影響。 - NVD 自身の評価。 ## 出典 - [NVD CVE-2026-123488](https://nvd.nist.gov/vuln/detail/CVE-2026-123488) — NIST NVD - [GitHub Security Advisory GHSA-qcvp-ggx3-97r6](https://github.com/craftcms/cms/security/advisories/GHSA-qcvp-ggx3-97r6) — Pixel & Tonic（Craft CMS） - [VulnCheck Advisory（Craft CMS 4.0.0 before 4.18.9 SQL Injection via Element Search Endpoint）](https://www.vulncheck.com/advisories/craft-cms-4.0.0-before-4.18.9-sql-injection-via-element-search-endpoint) — VulnCheck - [Craft CMS 4.18.9 リリース](https://github.com/craftcms/cms/releases/tag/4.18.9) — Pixel & Tonic（Craft CMS） - [Craft CMS 5.11.2 リリース](https://github.com/craftcms/cms/releases/tag/5.11.2) — Pixel & Tonic（Craft CMS） - [FIRST EPSS（CVE-2026-123488・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-123488) — FIRST - [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/craft-cms-element-search-sql-injection-cve-2026-123488