Dolibarr ERP CRM の SQL インジェクション CVE-2026-116218（CVSS 7.6）: 銀行口座 API の type 項目から認証情報を読み取れる。23.0.4 で修正

NVD は 2026-10-26 に、業務管理ソフト Dolibarr ERP CRM の SQL インジェクション（CVE-2026-116218）を登録しました。取引先の銀行口座を扱う REST API の type 項目が適切に処理されず、認証済みの API 利用者が SQL を差し込めるとされています。19.0.0 から 23.0.4 より前が影響を受けます。

何が起きるか

• CVE-2026-116218（SQL インジェクション、CWE-89）: 取引先の銀行口座を作成する処理（CompanyBankAccount::create()）で、type の値がエスケープされずに SQL に組み込まれるとされています。
• 取引先を編集する権限（societe/creer）だけを持つ API 利用者でも、時間差を使った盲目的な副問い合わせで、パスワードのハッシュや API キーを読み取れるとされています。
• 認証が必要です。API を有効にしており、編集権限を持つアカウントが存在する環境が前提になります。
• CVSS v3.1 は 7.6（High、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L）、v4.0 は 7.2 です。
• 攻撃の具体的な手順は、本記事では扱いません。

修正の状況

• 影響を受けるのは 19.0.0 以上 23.0.4 未満 で、23.0.4 で修正されています。
• 公式な回避策は確認できていません。

数値と出典（2026-11-02 時点）

CVE	種類	認証	CVSS v3.1 / v4.0	CWE	EPSS
CVE-2026-116218	銀行口座 API の type 項目からの SQL インジェクション	必要（低権限）	7.6 / 7.2	CWE-89	0.27%（パーセンタイル 19.5%、11/1）

• NVD の状態は Deferred（NVD 自身の評価は未実施）で、CVSS は CNA（VulnCheck）が付けた値です。
• KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には掲載がありません。実際の攻撃での悪用は確認していません。

severity を high とした理由

認証が不要なものではなく、低権限のアカウントと API の有効化が前提で、CVSS は 7.6 です。一方で、機密性への影響が大きく、パスワードのハッシュや API キーが読み取られると、より高い権限への足がかりになりえます。EPSS は低く KEV もないため、過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical、それ未満や条件付きは high）に合わせて high としています。

対応として考えられること

1. Dolibarr を使っていないか確認し、版を調べます。
2. 19.0.0 以上 23.0.4 未満であれば、23.0.4 以降に更新します。
3. 更新までの間、REST API を使っていなければ無効にします（推定）。
4. API を使う場合は、取引先の編集権限を持つアカウントと API キーを見直し、不要なものを外します（推定）。
5. 不審な利用の疑いがあれば、パスワードと API キーを再発行します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 19.0.0 より前の版が影響を受けるかは確認できていません。
• NVD 自身の評価は未実施で、CVSS は CNA の値です。