danmu_api の認証バイパス CVE-2026-116485（CVSS 9.8）: 既定の TOKEN のままだと認証なしで環境設定を書き換えられる。1.21.7 で修正

NVD は 2026-10-26 に、弾幕（コメント）取得用のサーバーソフト「danmu_api」の認証バイパス（CVE-2026-116485）を登録しました。発行元は VulnCheck です。既定の TOKEN のまま ADMIN_TOKEN を設定していない環境では、認証されていない攻撃者がサーバーの環境設定を書き換えられるとされています。1.21.7 で修正されています。

何が起きるか

• CVE-2026-116485（認証の欠如、CWE-306）: danmu_api 1.21.7 より前で、既定の TOKEN を使い ADMIN_TOKEN が未設定の場合に、環境設定を操作する API（/api/env/set、/api/env/add、/api/env/del）に認証なしで POST できるとされています。
• 想定される影響は、ADMIN_TOKEN を攻撃者が設定して運用者を締め出すこと、OTHER_SERVER や PROXY_URL の向き先を変えて SSRF（サーバーから内部や外部への不正な通信）に使うこと、再デプロイを引き起こすことです。
• CVSS v3.1 は 9.8（Critical、AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H）、CVSS v4.0 は 9.3 です。
• 攻撃の具体的な手順は、本記事では扱いません。

修正の状況

• 影響を受けるのは 1.21.7 より前で、1.21.7 で修正されています。
• 公式な回避策は確認できていません。ただし、影響の条件が「既定の TOKEN のまま、ADMIN_TOKEN 未設定」であることから、これらを設定することが当面の緩和になると考えられます（推定）。

数値と出典（2026-11-02 時点）

CVE	種類	認証	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-116485	認証バイパス（環境設定 API）	不要	9.8	9.3	CWE-306	2.35%（11/1）

• NVD の状態は Deferred（NVD による評価は保留）で、上の CVSS は VulnCheck の評価です。
• EPSS（FIRST）は 2026-11-01 の算出で 2.35%（パーセンタイル 84%）です。
• KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には掲載がありません。実際の攻撃での悪用は確認していません。

severity を critical とした理由

認証不要・ネットワーク経由・低い難度で、設定の書き換え、運用者の締め出し、SSRF につながるとされ、CVSS 9.8 です。修正版（1.21.7）は公開済みで、KEV もありませんが、過去の判断の基準（認証不要・CVSS 9.8）に合わせて critical としています。ただし、影響は既定の TOKEN のまま ADMIN_TOKEN を設定していない環境に限られます。

対応として考えられること

1. danmu_api を運用していないか確認し、版を調べます。
2. 1.21.7 未満であれば、1.21.7 以降に更新します。
3. TOKEN を既定値から変更し、ADMIN_TOKEN を設定します（推定）。
4. 更新までの間、API をインターネットに公開せず、IP 制限や VPN などで限定します（推定）。
5. OTHER_SERVER・PROXY_URL などの設定が意図しない値に変わっていないか、ADMIN_TOKEN が自分の設定したものかを確認します（推定）。
6. 不審な変更があれば、トークンを再発行し、再デプロイの履歴を確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 既定の TOKEN 以外の構成で影響を受けるかは確認できていません。公式な回避策も確認できていません。
• CVSS は VulnCheck の評価で、NVD による評価は保留中です。