目次（6）
CVE-2026-121729
メール送信基盤 emailflare（オープンソース）のコミット cf31f33 より前に、認証済みの一般メンバーが API キーを一覧・作成・失効できてしまう認可不備（CVE-2026-121729）が、2026-11-03 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（受付直後）です。
何が起きるか
- 対象は、inbox サービスの
/api/keys系のルートです。 - このルートに権限の確認がなく、組織のメンバーとしてログインしていれば、管理者でなくても API キーの一覧取得・新規作成・失効ができます。
- NVD の説明によると、攻撃者は
/v1/sendが受け付ける全体用の本番 API キーを自分で作り、任意のドメインを差出人にしてメールを送れます。反対に既存のキーを失効させれば、連携を止められます。 - 攻撃の前提は、メンバーとしてログインできるアカウントを持っていることです。
数値と severity
- CVSS v3.1 は 8.3（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H です。CVSS v4.0 は 7.2（HIGH）です。
- ログイン済みのアカウント（PR:L）が必要で、CVSS も 9 未満のため critical にはせず、severity は high とします。
- CWE は CWE-862（認可の欠如）です。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。
影響を受ける製品
- emailflare のコミット cf31f33 より前の版（NVD の affected 情報）。
- 配布版の番号は確認できていません。自分で運用している場合は、取り込んでいるコミットが cf31f33 以降かを確かめてください。
対策
- 修正は、プロジェクトのコミット cf31f33 で入っています（NVD の参照情報）。このコミットを含む版へ更新してください。
- 更新までの間は、メンバーとして招待しているアカウントを見直し、発行済みの API キーに心当たりのないものがないかを確認することが考えられます（公式の指示ではありません）。更新後は、念のため既存のキーを入れ替えることも検討してください。
未確認の点
- cf31f33 が不備を完全に塞いでいるかどうかと、リリース版の番号、回避策の有無。
- 実際の悪用の有無、攻撃コードの公開状況。
- 運用している組織の数と、影響を受ける範囲。
- NVD の最終評価、EPSS、KEV の掲載状況。
出典
- NVD: CVE-2026-121729
- VulnCheck Advisory: emailflare before commit cf31f33 missing authorization via API keys routes
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。
