DataGerry 3.3.0 より前（CVE-2026-57853）: DocAPI テンプレートの Jinja2 注入で、権限を持つユーザーが OS コマンドを実行できる（CVSS 8.8、Docker 既定では root）

IT 資産管理ツール DataGerry の 3.3.0 より前の版に、テンプレート機能を悪用してサーバー上でコマンドを実行できる欠陥（CVE-2026-57853）が登録されました。NVD への登録は 2026-11-04、評価元は VulnCheck（CNA）で、NVD 自身の評価はまだありません（状態は Received）。

何が起きるか

• DataGerry の DocAPI には、オブジェクトを文書として出力するテンプレート機能があります。base.docapi.template.add 権限を持つログイン済みのユーザーは、POST /rest/docapi/template で template_data 欄に好きな Jinja2 の式を保存できます。
• 保存したテンプレートは、GET /rest/docapi/template/<id>/render/<object_id> を誰かが呼んだときに描画されます。このとき使われる Jinja2 環境は「サンドボックスなし」です。
• そのため、Jinja2 の定番の手口（cycler.__init__.__globals__.os をたどる方法）で os モジュールに届き、DataGerry の Web プロセスの権限で任意の OS コマンドを実行できます。記述では、既定の Docker 構成ではそのプロセスが root で動いている、とされています。
• CWE-1336（テンプレートエンジンでの特殊要素の不適切な無効化）と CWE-79 が付いています。

数値と severity

• CVSS v3.1: 8.8（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。CVSS v4.0: 8.7。評価元は VulnCheck です。
• 認証が必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。ただしテンプレートを追加できる権限を持つ人が少なくても、その権限が侵害されたアカウントや内部の悪意ある利用者に渡ると、サーバー全体の乗っ取りに直結します。
• CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。

修正の状況

• 対象は「3.3.0 より前のすべての版」です。GitHub の公式リリース 3.3.0 は 2026-10-21 に公開されており、NVD の参照にも載っています。
• ただし、リリースノートの本文は変更履歴へのリンクだけで、この欠陥の修正が 3.3.0 に入ったことを示す記載は、本稿では確認できていません（NVD の影響版の記述から、3.3.0 で修正されたと読めます）。

対策として考えられること

1. DataGerry を使っている場合は、版を確認し、3.3.0 以降へ更新します。
2. すぐ更新できない場合は、base.docapi.template.add 権限を持つユーザーを必要最小限にし、持っているアカウントの認証情報と最近のテンプレート登録を点検します（推定）。
3. 既存の DocAPI テンプレートに、__globals__・__init__・os などを含む不審な式が入っていないか確認します（推定）。
4. コンテナを root で動かさない構成にして、被害の範囲を狭めます（推定）。

未確認の点

• 修正が 3.3.0 の変更のどれに当たるか（変更履歴の中身は本稿では開けていません）。
• VulnCheck の勧告ページの中身（本稿では取得できていません）。
• 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。
• 利用者数と、外部に公開されている DataGerry の数。
• NVD の最終評価。