--- title: "Dolibarr ERP CRM の SQL インジェクション CVE-2026-116218（CVSS 7.6）: 銀行口座 API の type 項目から認証情報を読み取れる。23.0.4 で修正" url: https://n-t-p.io/worldsecurity/articles/dolibarr-bankaccounts-api-type-sql-injection-19-0-0-before-23-0-4-cve-2026-116218 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-116218 --- # Dolibarr ERP CRM の SQL インジェクション CVE-2026-116218（CVSS 7.6）: 銀行口座 API の type 項目から認証情報を読み取れる。23.0.4 で修正 > **TL;DR:** Dolibarr ERP CRM の 19.0.0 以上 23.0.4 未満にある CVE-2026-116218（CVSS 7.6）。銀行口座 API の type 項目から SQL を差し込め、パスワードのハッシュや API キーが読まれうる。KEV なし、EPSS 0.27%。23.0.4 で修正。 **要点** - Dolibarr ERP CRM 19.0.0 以上 23.0.4 未満に、銀行口座 API の type 項目から SQL を差し込める CVE-2026-116218 がある（CVSS v3.1 7.6） - 認証が必要。取引先の編集権限だけで、パスワードのハッシュや API キーを読み取れるとされる - KEV 掲載なし、EPSS 0.27%（11/1）。実際の悪用は未確認。NVD 自身の評価は未実施（CVSS は CNA の値） - 23.0.4 以降に更新すれば修正。公式な回避策は確認できていない - 対策は、版の確認、更新、API の無効化、権限と API キーの見直し、不審時の再発行（一部は推定） NVD は 2026-10-26 に、業務管理ソフト Dolibarr ERP CRM の SQL インジェクション（CVE-2026-116218）を登録しました。取引先の銀行口座を扱う REST API の type 項目が適切に処理されず、認証済みの API 利用者が SQL を差し込めるとされています。19.0.0 から 23.0.4 より前が影響を受けます。 ## 何が起きるか - **CVE-2026-116218（SQL インジェクション、CWE-89）**: 取引先の銀行口座を作成する処理（CompanyBankAccount::create()）で、type の値がエスケープされずに SQL に組み込まれるとされています。 - 取引先を編集する権限（societe/creer）だけを持つ API 利用者でも、時間差を使った盲目的な副問い合わせで、パスワードのハッシュや API キーを読み取れるとされています。 - 認証が必要です。API を有効にしており、編集権限を持つアカウントが存在する環境が前提になります。 - CVSS v3.1 は 7.6（High、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L）、v4.0 は 7.2 です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 修正の状況 - 影響を受けるのは **19.0.0 以上 23.0.4 未満** で、23.0.4 で修正されています。 - 公式な回避策は確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 種類 | 認証 | CVSS v3.1 / v4.0 | CWE | EPSS | |---|---|---|---|---|---| | CVE-2026-116218 | 銀行口座 API の type 項目からの SQL インジェクション | 必要（低権限） | 7.6 / 7.2 | CWE-89 | 0.27%（パーセンタイル 19.5%、11/1） | - NVD の状態は Deferred（NVD 自身の評価は未実施）で、CVSS は CNA（VulnCheck）が付けた値です。 - KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には掲載がありません。実際の攻撃での悪用は確認していません。 ## severity を high とした理由 認証が不要なものではなく、低権限のアカウントと API の有効化が前提で、CVSS は 7.6 です。一方で、機密性への影響が大きく、パスワードのハッシュや API キーが読み取られると、より高い権限への足がかりになりえます。EPSS は低く KEV もないため、過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical、それ未満や条件付きは high）に合わせて high としています。 ## 対応として考えられること 1. Dolibarr を使っていないか確認し、版を調べます。 2. 19.0.0 以上 23.0.4 未満であれば、23.0.4 以降に更新します。 3. 更新までの間、REST API を使っていなければ無効にします（推定）。 4. API を使う場合は、取引先の編集権限を持つアカウントと API キーを見直し、不要なものを外します（推定）。 5. 不審な利用の疑いがあれば、パスワードと API キーを再発行します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 19.0.0 より前の版が影響を受けるかは確認できていません。 - NVD 自身の評価は未実施で、CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-116218](https://nvd.nist.gov/vuln/detail/CVE-2026-116218) — NIST NVD - [Dolibarr ERP CRM 19.0.0 before 23.0.4 SQL Injection via bankaccounts API type field](https://www.vulncheck.com/advisories/dolibarr-erp-crm-19.0.0-before-23.0.4-sql-injection-via-bankaccounts-api-type-field) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116218) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/dolibarr-bankaccounts-api-type-sql-injection-19-0-0-before-23-0-4-cve-2026-116218