--- title: "danmu_api の認証バイパス CVE-2026-116485（CVSS 9.8）: 既定の TOKEN のままだと認証なしで環境設定を書き換えられる。1.21.7 で修正" url: https://n-t-p.io/worldsecurity/articles/danmu-api-env-endpoints-auth-bypass-default-token-before-1-21-7-cve-2026-116485 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-116485 --- # danmu_api の認証バイパス CVE-2026-116485（CVSS 9.8）: 既定の TOKEN のままだと認証なしで環境設定を書き換えられる。1.21.7 で修正 > **TL;DR:** danmu_api 1.21.7 より前の認証バイパス CVE-2026-116485（CVSS 9.8）。既定の TOKEN で ADMIN_TOKEN 未設定なら、認証なしで環境設定を書き換え、運用者の締め出しや SSRF が可能とされる。EPSS 2.35%、KEV なし。1.21.7 で修正。 **要点** - danmu_api 1.21.7 より前に、認証なしで環境設定 API を操作できる CVE-2026-116485 がある（CVSS v3.1 9.8） - 条件は、既定の TOKEN のまま ADMIN_TOKEN が未設定であること。設定の書き換え、運用者の締め出し、SSRF、再デプロイが想定される - EPSS は 2.35%（11/1）、KEV なし。実際の悪用は未確認。NVD は評価保留（Deferred） - 1.21.7 に更新すれば修正。公式な回避策は未確認 - 対策は、1.21.7 への更新、TOKEN の変更と ADMIN_TOKEN の設定、API の公開範囲の限定、設定値の確認（一部は推定） NVD は 2026-10-26 に、弾幕（コメント）取得用のサーバーソフト「danmu_api」の認証バイパス（CVE-2026-116485）を登録しました。発行元は VulnCheck です。既定の TOKEN のまま ADMIN_TOKEN を設定していない環境では、認証されていない攻撃者がサーバーの環境設定を書き換えられるとされています。1.21.7 で修正されています。 ## 何が起きるか - **CVE-2026-116485（認証の欠如、CWE-306）**: danmu_api 1.21.7 より前で、既定の TOKEN を使い ADMIN_TOKEN が未設定の場合に、環境設定を操作する API（/api/env/set、/api/env/add、/api/env/del）に認証なしで POST できるとされています。 - 想定される影響は、ADMIN_TOKEN を攻撃者が設定して運用者を締め出すこと、OTHER_SERVER や PROXY_URL の向き先を変えて SSRF（サーバーから内部や外部への不正な通信）に使うこと、再デプロイを引き起こすことです。 - CVSS v3.1 は 9.8（Critical、AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H）、CVSS v4.0 は 9.3 です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 修正の状況 - 影響を受けるのは **1.21.7 より前**で、**1.21.7** で修正されています。 - 公式な回避策は確認できていません。ただし、影響の条件が「既定の TOKEN のまま、ADMIN_TOKEN 未設定」であることから、これらを設定することが当面の緩和になると考えられます（推定）。 ## 数値と出典（2026-11-02 時点） | CVE | 種類 | 認証 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---|---| | CVE-2026-116485 | 認証バイパス（環境設定 API） | 不要 | 9.8 | 9.3 | CWE-306 | 2.35%（11/1） | - NVD の状態は Deferred（NVD による評価は保留）で、上の CVSS は VulnCheck の評価です。 - EPSS（FIRST）は 2026-11-01 の算出で 2.35%（パーセンタイル 84%）です。 - KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には掲載がありません。実際の攻撃での悪用は確認していません。 ## severity を critical とした理由 認証不要・ネットワーク経由・低い難度で、設定の書き換え、運用者の締め出し、SSRF につながるとされ、CVSS 9.8 です。修正版（1.21.7）は公開済みで、KEV もありませんが、過去の判断の基準（認証不要・CVSS 9.8）に合わせて critical としています。ただし、影響は既定の TOKEN のまま ADMIN_TOKEN を設定していない環境に限られます。 ## 対応として考えられること 1. danmu_api を運用していないか確認し、版を調べます。 2. 1.21.7 未満であれば、1.21.7 以降に更新します。 3. TOKEN を既定値から変更し、ADMIN_TOKEN を設定します（推定）。 4. 更新までの間、API をインターネットに公開せず、IP 制限や VPN などで限定します（推定）。 5. OTHER_SERVER・PROXY_URL などの設定が意図しない値に変わっていないか、ADMIN_TOKEN が自分の設定したものかを確認します（推定）。 6. 不審な変更があれば、トークンを再発行し、再デプロイの履歴を確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 既定の TOKEN 以外の構成で影響を受けるかは確認できていません。公式な回避策も確認できていません。 - CVSS は VulnCheck の評価で、NVD による評価は保留中です。 ## 出典 - [NVD CVE-2026-116485](https://nvd.nist.gov/vuln/detail/CVE-2026-116485) — NIST NVD - [VulnCheck Advisory（CVE-2026-116485）](https://www.vulncheck.com/advisories/danmu-api-before-1.21.7-authentication-bypass-via-default-token-in-env-endpoints) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116485) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/danmu-api-env-endpoints-auth-bypass-default-token-before-1-21-7-cve-2026-116485