--- title: "メール送信基盤 emailflare で一般メンバーが全ドメイン用の API キーを発行できる問題（CVE-2026-121729）: CVSS v3.1 8.3、コミット cf31f33 より前が対象" url: https://n-t-p.io/worldsecurity/articles/emailflare-cve-2026-121729-api-keys-missing-authorization lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121729 --- # メール送信基盤 emailflare で一般メンバーが全ドメイン用の API キーを発行できる問題（CVE-2026-121729）: CVSS v3.1 8.3、コミット cf31f33 より前が対象 > **TL;DR:** メール送信基盤 emailflare のコミット cf31f33 より前で、/api/keys 系ルートに権限確認がなく、認証済みの一般メンバーが全体用の API キーを作って任意のドメインからメールを送れる（CVE-2026-121729、CWE-862、CVSS v3.1 8.3）。修正はコミット cf31f33。悪用の有無は未確認。 **要点** - emailflare のコミット cf31f33 より前で、inbox サービスの /api/keys に権限確認がなく、一般メンバーが API キーを一覧・作成・失効できる（CVE-2026-121729）。 - 作成した全体用キーは /v1/send で通り、任意のドメインを差出人にしてメールを送れる。既存キーの失効で連携を止めることもできる。 - CVSS v3.1 は 8.3。ログイン済みのアカウント（PR:L）が前提のため severity は high。 - 修正はコミット cf31f33。リリース版の番号、悪用の有無は未確認。更新と、不審なキー・メンバーの確認を行う。 メール送信基盤 emailflare（オープンソース）のコミット cf31f33 より前に、認証済みの一般メンバーが API キーを一覧・作成・失効できてしまう認可不備（CVE-2026-121729）が、2026-11-03 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（受付直後）です。 ## 何が起きるか - 対象は、inbox サービスの `/api/keys` 系のルートです。 - このルートに権限の確認がなく、組織のメンバーとしてログインしていれば、管理者でなくても API キーの一覧取得・新規作成・失効ができます。 - NVD の説明によると、攻撃者は `/v1/send` が受け付ける全体用の本番 API キーを自分で作り、任意のドメインを差出人にしてメールを送れます。反対に既存のキーを失効させれば、連携を止められます。 - 攻撃の前提は、メンバーとしてログインできるアカウントを持っていることです。 ## 数値と severity - CVSS v3.1 は 8.3（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H です。CVSS v4.0 は 7.2（HIGH）です。 - ログイン済みのアカウント（PR:L）が必要で、CVSS も 9 未満のため critical にはせず、severity は high とします。 - CWE は CWE-862（認可の欠如）です。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品 - emailflare のコミット cf31f33 より前の版（NVD の affected 情報）。 - 配布版の番号は確認できていません。自分で運用している場合は、取り込んでいるコミットが cf31f33 以降かを確かめてください。 ## 対策 - 修正は、プロジェクトのコミット cf31f33 で入っています（NVD の参照情報）。このコミットを含む版へ更新してください。 - 更新までの間は、メンバーとして招待しているアカウントを見直し、発行済みの API キーに心当たりのないものがないかを確認することが考えられます（公式の指示ではありません）。更新後は、念のため既存のキーを入れ替えることも検討してください。 ## 未確認の点 - cf31f33 が不備を完全に塞いでいるかどうかと、リリース版の番号、回避策の有無。 - 実際の悪用の有無、攻撃コードの公開状況。 - 運用している組織の数と、影響を受ける範囲。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121729 - VulnCheck Advisory: emailflare before commit cf31f33 missing authorization via API keys routes ## 出典 - [NVD CVE-2026-121729](https://nvd.nist.gov/vuln/detail/CVE-2026-121729) — NIST NVD - [VulnCheck Advisory: emailflare missing authorization via API keys routes](https://www.vulncheck.com/advisories/emailflare-before-commit-cf31f33-missing-authorization-via-api-keys-routes) — VulnCheck --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/emailflare-cve-2026-121729-api-keys-missing-authorization