--- title: "管理ツール Databasement 1.10.9 未満で、OIDC ログインがメールアドレスだけでアカウントを結び付け、他人になりすませる（CVE-2026-121939）: CVSS v3.1 8.1、認証不要、修正版あり" url: https://n-t-p.io/worldsecurity/articles/databasement-cve-2026-121939-oidc-email-account-takeover lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121939 --- # 管理ツール Databasement 1.10.9 未満で、OIDC ログインがメールアドレスだけでアカウントを結び付け、他人になりすませる（CVE-2026-121939）: CVSS v3.1 8.1、認証不要、修正版あり > **TL;DR:** バックアップ管理ツール Databasement 1.10.9 未満で、OIDC ログイン時に IdP のメール確認（email_verified）を見ずに既存ユーザーへ結び付けるため、他人（管理者を含む）になりすませる（CVE-2026-121939、CWE-290、CVSS v3.1 8.1）。認証不要。1.10.9 で修正済み。 **要点** - OIDC ログインで、メールアドレスが同じ既存ユーザーに確認なしで結び付けられ、被害者になりすましてログインできる（CVE-2026-121939）。 - CVSS v3.1 は 8.1（攻撃の難しさ高）。認証不要だが 9 未満のため severity は high。結び付けはパスワード変更後も残る。 - 1.10.9 で修正済み。1.10.9 より前の版は更新が必要。 - 更新できない間は OIDC ログインの停止や IdP の制限を検討する。悪用の有無は未確認。 バックアップ管理ツール Databasement の 1.10.9 より前の版に、外部 ID 基盤（OIDC）でログインするときの認証回避の不備（CVE-2026-121939）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。 ## 何が起きるか - 対象は `OAuthService::findOrCreateLocalUser()` です。OIDC でログインしてきた人を、メールアドレスが同じ既存ユーザーに結び付けますが、IdP 側でメールが確認済みか（`email_verified`）を見ていません（CWE-290）。 - 攻撃者が、使える IdP に被害者のメールアドレスを未確認のまま登録すると、そのアドレスの既存ユーザーとしてログインできます。管理者（スーパー管理者）のアドレスを知っていれば、管理者にもなれます。 - 結び付けは残るため、被害者がパスワードを変えても、攻撃者のアクセスは続くと NVD は説明しています。 - ただし、攻撃には「未確認のメールを受け付ける IdP が使える設定であること」が前提になると考えられます。CVSS で攻撃の難しさが「高」（AC:H）とされているのは、この条件のためと推測されます（公式の説明ではありません）。 ## 数値と severity - CVSS v3.1 は 8.1（HIGH）。ベクターは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 9.2（CRITICAL）です。 - v3.1 は認証不要ですが、9 未満のため critical にはせず、severity は high とします。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品と修正 - Databasement 1.10.9 より前のすべての版。 - 修正版は 1.10.9 です。リリースと修正コミット、GitHub のセキュリティ情報（GHSA-mh6w-2cch-w8v8）が公開されています。 ## 対策 - Databasement を 1.10.9 以降に更新する。 - すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。 - OIDC ログインを一時的に止める、またはメール確認を必須にした IdP だけを許可する。 - 管理者などの権限が高いユーザーのメールアドレスに、不審な OIDC 連携がないか確認する。 - すでに結び付けが作られた疑いがあるときは、該当ユーザーの連携を解除し、セッションを失効させる。 ## 未確認の点 - 悪用の有無と、攻撃コードの公開状況。 - 未確認のメールを受け付ける IdP が、実際にどれくらいの環境で使われているか。 - 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121939 - VulnCheck: databasement-before-1.10.9-account-takeover-via-oidc-email-auto-linking - GitHub セキュリティ情報 GHSA-mh6w-2cch-w8v8 / v1.10.9 リリース ## 出典 - [NVD CVE-2026-121939](https://nvd.nist.gov/vuln/detail/CVE-2026-121939) — NIST NVD - [VulnCheck Advisory](https://www.vulncheck.com/advisories/databasement-before-1.10.9-account-takeover-via-oidc-email-auto-linking) — VulnCheck - [GitHub Security Advisory GHSA-mh6w-2cch-w8v8](https://github.com/David-Crty/databasement/security/advisories/GHSA-mh6w-2cch-w8v8) — GitHub - [Databasement v1.10.9 リリース](https://github.com/David-Crty/databasement/releases/tag/v1.10.9) — GitHub --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/databasement-cve-2026-121939-oidc-email-account-takeover