--- title: "DataGerry 3.3.0 より前（CVE-2026-57853）: DocAPI テンプレートの Jinja2 注入で、権限を持つユーザーが OS コマンドを実行できる（CVSS 8.8、Docker 既定では root）" url: https://n-t-p.io/worldsecurity/articles/datagerry-docapi-template-ssti-cve-2026-57853 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-57853 --- # DataGerry 3.3.0 より前（CVE-2026-57853）: DocAPI テンプレートの Jinja2 注入で、権限を持つユーザーが OS コマンドを実行できる（CVSS 8.8、Docker 既定では root） > **TL;DR:** DataGerry 3.3.0 より前で、DocAPI テンプレートに保存した Jinja2 の式がサンドボックスなしで描画され、template.add 権限を持つログイン済みユーザーが OS コマンドを実行できる（CVE-2026-57853、CVSS 8.8）。Docker 既定では root。修正の詳細は未確認。 **要点** - `POST /rest/docapi/template` で保存した Jinja2 の式が、`render` 呼び出しのときにサンドボックスなしで実行される（CWE-1336）。定番の手口で Web プロセスの権限のコマンドを実行でき、既定の Docker では root。 - 要るのは template.add 権限を持つログイン済みのアカウント（PR:L）。CVSS 8.8 のため high。権限を持つアカウントが乗っ取られるとサーバー全体に及ぶ。 - 対象は 3.3.0 より前。3.3.0 は 10/21 公開。更新できない間は権限者の絞り込みとテンプレートの点検（推定）。 - KEV 掲載なし、EPSS は未算出。悪用・概念実証・修正内容・NVD の最終評価は未確認。 IT 資産管理ツール DataGerry の 3.3.0 より前の版に、テンプレート機能を悪用してサーバー上でコマンドを実行できる欠陥（CVE-2026-57853）が登録されました。NVD への登録は 2026-11-04、評価元は VulnCheck（CNA）で、NVD 自身の評価はまだありません（状態は Received）。 ## 何が起きるか - DataGerry の DocAPI には、オブジェクトを文書として出力するテンプレート機能があります。`base.docapi.template.add` 権限を持つログイン済みのユーザーは、`POST /rest/docapi/template` で `template_data` 欄に好きな Jinja2 の式を保存できます。 - 保存したテンプレートは、`GET /rest/docapi/template//render/` を誰かが呼んだときに描画されます。このとき使われる Jinja2 環境は「サンドボックスなし」です。 - そのため、Jinja2 の定番の手口（`cycler.__init__.__globals__.os` をたどる方法）で `os` モジュールに届き、DataGerry の Web プロセスの権限で任意の OS コマンドを実行できます。記述では、既定の Docker 構成ではそのプロセスが root で動いている、とされています。 - CWE-1336（テンプレートエンジンでの特殊要素の不適切な無効化）と CWE-79 が付いています。 ## 数値と severity - CVSS v3.1: 8.8（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。CVSS v4.0: 8.7。評価元は VulnCheck です。 - 認証が必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。ただしテンプレートを追加できる権限を持つ人が少なくても、その権限が侵害されたアカウントや内部の悪意ある利用者に渡ると、サーバー全体の乗っ取りに直結します。 - CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。 ## 修正の状況 - 対象は「3.3.0 より前のすべての版」です。GitHub の公式リリース 3.3.0 は 2026-10-21 に公開されており、NVD の参照にも載っています。 - ただし、リリースノートの本文は変更履歴へのリンクだけで、この欠陥の修正が 3.3.0 に入ったことを示す記載は、本稿では確認できていません（NVD の影響版の記述から、3.3.0 で修正されたと読めます）。 ## 対策として考えられること 1. DataGerry を使っている場合は、版を確認し、3.3.0 以降へ更新します。 2. すぐ更新できない場合は、`base.docapi.template.add` 権限を持つユーザーを必要最小限にし、持っているアカウントの認証情報と最近のテンプレート登録を点検します（推定）。 3. 既存の DocAPI テンプレートに、`__globals__`・`__init__`・`os` などを含む不審な式が入っていないか確認します（推定）。 4. コンテナを root で動かさない構成にして、被害の範囲を狭めます（推定）。 ## 未確認の点 - 修正が 3.3.0 の変更のどれに当たるか（変更履歴の中身は本稿では開けていません）。 - VulnCheck の勧告ページの中身（本稿では取得できていません）。 - 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。 - 利用者数と、外部に公開されている DataGerry の数。 - NVD の最終評価。 ## 出典 - [NVD CVE-2026-57853](https://nvd.nist.gov/vuln/detail/CVE-2026-57853) — NIST NVD - [VulnCheck 勧告（NVD の参照先。未取得）](https://www.vulncheck.com/advisories/datagerry-ssti-via-docapi-template-rendering) — VulnCheck - [DataGerry 3.3.0 リリース（2026-10-21）](https://github.com/DataGerry/DataGerry/releases/tag/3.3.0) — DataGerry - [FIRST EPSS API（値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-57853) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/datagerry-docapi-template-ssti-cve-2026-57853