---
title: "Cronicle の CVE-2026-85076: 0.9.124 より前で、イベント権限を持つ非管理者がイベントのパラメーターから環境変数を上書きし、権限昇格やコード実行を招く恐れ（CVSS v4.0 9.0）"
url: https://n-t-p.io/worldsecurity/articles/cronicle-cve-2026-85076-event-params-env-override-non-admin-privilege-escalation
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-85076
---

# Cronicle の CVE-2026-85076: 0.9.124 より前で、イベント権限を持つ非管理者がイベントのパラメーターから環境変数を上書きし、権限昇格やコード実行を招く恐れ（CVSS v4.0 9.0）

> **TL;DR:** Cronicle 0.9.124 より前で、イベント権限を持つ認証済みの非管理者が、イベントのパラメーターに渡したキーでプラグイン実行時の環境変数を上書きでき、権限昇格や任意のコード実行を招く恐れ。NVD 評価は CVSS v4.0 9.0（PR:L）。0.9.124 で修正。

**要点**
- API がイベントのパラメーターのキーを制限せず、lib/job.js がキーを大文字にして、管理者定義のプラグイン変数のあとで子プロセスの環境変数へ適用する（CWE-74）。
- run_events・create_events・edit_events のいずれかを持つ認証済みの非管理者が、重要な環境変数と同名のキーでプラグインの実行環境を上書きできる。
- プラグインと実行環境しだいで、権限昇格、任意のコード実行、データアクセス、サービス妨害につながりうる（NVD の説明）。
- 評価は CVSS v4.0 9.0（AV:N・AT:P・PR:L）。PR:L のため severity 案は high。
- 修正版は 0.9.124。更新と、イベント権限を持つアカウントの見直しを。悪用の実態・参照先の勧告は未確認。

Cronicle（Web 画面付きの複数サーバー対応タスクスケジューラー）の 0.9.124 より前で、イベントのパラメーターを通じてプラグイン実行時の環境変数を上書きできる欠陥（**CVE-2026-85076**）が NVD に登録されました。登録は 2026-11-05 で、評価はまだ確定していない状態（Received）です。

## 何が起きるか
- `run_events`・`create_events`・`edit_events` のいずれかの権限を持つ、管理者ではない認証済みの利用者が、`api_create_event`・`api_update_event`・`api_run_event` に、宣言されていないキーをイベントのパラメーターとして渡せます。
- `lib/api.js` と `lib/api/event.js` はパラメーターの object を検証しますが、キーを制限していません。
- `lib/job.js` はそのキーを大文字にして、管理者が定義したプラグインの変数のあとで、子プロセスの環境変数に適用します。
- 重要な環境変数と同じ名前のキーを渡すと、プラグインの実行環境を上書きできます。プラグインと実行環境しだいで、権限昇格、任意のコード実行、データへのアクセス、サービスの妨害につながりうる、と NVD は説明しています。
- 弱点の種別は CWE-74（出力先の解釈器に渡す要素の無害化の不備）です。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| Cronicle | 0.9.124 より前 | 0.9.124 |

## 評価
| 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|
| NVD（Secondary: GitHub） | CVSS v4.0 | 9.0（Critical） | AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |

- ベクターは低い権限（PR:L）が前提で、攻撃の成立にも条件（AT:P）があります。認証不要ではないため、severity は **high** を案とします（点数は 9.0 ですが、基準では PR:L を critical にしません）。確定はオーナーの判断待ちです。
- 影響の大きさは、どのプラグインを使い、どの環境変数が効くかで変わります。イベントの作成・実行権限を一般の利用者に広く渡している環境ほど危険です。
- FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

## 対策として考えられること
1. Cronicle を 0.9.124 以降へ更新します。
2. すぐ更新できない場合は、`run_events`・`create_events`・`edit_events` を持つアカウントを必要な人に絞ります。
3. イベントのパラメーターに、`PATH`・`NODE_OPTIONS`・`LD_PRELOAD` のような環境変数名と同じキーが入っていないか、既存のイベントを点検します。
4. 外部に公開している Cronicle は、接続元を制限します。

## 未確認の点
- 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
- 参照先の GitHub 勧告（GHSA-9w42-v8cj-68gq）・修正のコミット・リリース v0.9.124 の中身（本稿では開いていません）。
- 影響する版の下限。
- NVD の最終評価。


## 出典
- [NVD CVE-2026-85076](https://nvd.nist.gov/vuln/detail/CVE-2026-85076) — NIST NVD
- [Cronicle セキュリティ勧告 GHSA-9w42-v8cj-68gq（NVD の参照先。未取得）](https://github.com/jhuckaby/Cronicle/security/advisories/GHSA-9w42-v8cj-68gq) — Cronicle
- [Cronicle リリース v0.9.124（NVD の参照先。未取得）](https://github.com/jhuckaby/Cronicle/releases/tag/v0.9.124) — Cronicle
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-85076) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/cronicle-cve-2026-85076-event-params-env-override-non-admin-privilege-escalation