Cronicle の CVE-2026-85076: 0.9.124 より前で、イベント権限を持つ非管理者がイベントのパラメーターから環境変数を上書きし、権限昇格やコード実行を招く恐れ（CVSS v4.0 9.0）

Cronicle（Web 画面付きの複数サーバー対応タスクスケジューラー）の 0.9.124 より前で、イベントのパラメーターを通じてプラグイン実行時の環境変数を上書きできる欠陥（CVE-2026-85076）が NVD に登録されました。登録は 2026-11-05 で、評価はまだ確定していない状態（Received）です。

何が起きるか

• run_events・create_events・edit_events のいずれかの権限を持つ、管理者ではない認証済みの利用者が、api_create_event・api_update_event・api_run_event に、宣言されていないキーをイベントのパラメーターとして渡せます。
• lib/api.js と lib/api/event.js はパラメーターの object を検証しますが、キーを制限していません。
• lib/job.js はそのキーを大文字にして、管理者が定義したプラグインの変数のあとで、子プロセスの環境変数に適用します。
• 重要な環境変数と同じ名前のキーを渡すと、プラグインの実行環境を上書きできます。プラグインと実行環境しだいで、権限昇格、任意のコード実行、データへのアクセス、サービスの妨害につながりうる、と NVD は説明しています。
• 弱点の種別は CWE-74（出力先の解釈器に渡す要素の無害化の不備）です。

影響を受ける版

対象	影響する版	修正版
Cronicle	0.9.124 より前	0.9.124

評価

評価元	版	点数	ベクター
NVD（Secondary: GitHub）	CVSS v4.0	9.0（Critical）	AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

• ベクターは低い権限（PR:L）が前提で、攻撃の成立にも条件（AT:P）があります。認証不要ではないため、severity は high を案とします（点数は 9.0 ですが、基準では PR:L を critical にしません）。確定はオーナーの判断待ちです。
• 影響の大きさは、どのプラグインを使い、どの環境変数が効くかで変わります。イベントの作成・実行権限を一般の利用者に広く渡している環境ほど危険です。
• FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

対策として考えられること

1. Cronicle を 0.9.124 以降へ更新します。
2. すぐ更新できない場合は、run_events・create_events・edit_events を持つアカウントを必要な人に絞ります。
3. イベントのパラメーターに、PATH・NODE_OPTIONS・LD_PRELOAD のような環境変数名と同じキーが入っていないか、既存のイベントを点検します。
4. 外部に公開している Cronicle は、接続元を制限します。

未確認の点

• 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
• 参照先の GitHub 勧告（GHSA-9w42-v8cj-68gq）・修正のコミット・リリース v0.9.124 の中身（本稿では開いていません）。
• 影響する版の下限。
• NVD の最終評価。