目次（5）
CVE-2026-119144
NVD は 2026-10-29（16:18 UTC）に、Python 製の業務アプリ基盤 Frappe Framework の CVE-2026-119144 を登録しました。説明によれば、15.111.0 より前、および 16.x の 16.21.0 より前の Frappe は、ユーザーが制御できるメッセージ項目を無害化せずにテンプレートとして描画します。一般的な業務上のロールを持つ認証済みの攻撃者が、テンプレート式を埋め込むと、サーバーが制限のない文脈でそれを評価する、とされています。弱点の分類は CWE-1336（テンプレートエンジンで使う特殊要素の不適切な無効化）です。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」です。
何が起きるか（CNA の説明）
- 対象は Frappe Framework 本体です。ERP などの業務アプリは Frappe の上で動くため、同じ基盤を使う環境が影響を受ける可能性があります（本記事の推定。個々の製品の影響は確認していません）。
- メッセージ系の項目に入力された値が、サーバー側でテンプレートとして描画されます。式が評価される文脈には制限がない、と説明されています。
- 必要なのは、一般的な業務ロール（特別な管理者権限ではない）を持つ認証済みアカウントです。ベクターでは、ネットワークから・攻撃の複雑さ Low・必要な権限 Low・操作不要で、機密性・完全性・可用性のすべてが High とされています。
- 制限のない文脈でのテンプレート評価は、一般にサーバー上でのコード実行につながり得ますが、本件でそこまで可能かは公開情報では確認できていません（本記事の推定を含む）。
数値と出典（2026-11-01 時点）
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119144（CWE-1336） |
| 影響 | Frappe Framework 15.111.0 より前、および 16.0.0 以上 16.21.0 未満（pkg:pypi/frappe） |
| 修正 | 15.111.0 および 16.21.0（NVD の影響版情報で「unaffected」。リリースノートでの該当項目は確認できていない） |
| CVSS v3.1 | 8.8（High、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値 |
| CVSS v4.0 | 8.7（High）。同じく VulnCheck（CNA）の値 |
| 状態 | NVD の状態は「Deferred」（NVD 自身の評価はなし） |
| EPSS | 0.31%（パーセンタイル 23.3%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |
severity を high とした理由
CVSS は High（8.8）で、CNA の説明どおりなら認証後にサーバー側で式を評価できる点は重大です。一方、攻撃には認証済みアカウントが必要で、実際にコード実行まで至るかは未確認です。EPSS も低い水準で、KEV にも載っていません。以上を踏まえ、critical にはせず high としました。ユーザー登録を開放している環境や、権限の低い利用者が多い環境では優先度が上がります。
対応として考えられること
- 自組織で Frappe（および Frappe 上の業務アプリ）を使っているかと、そのバージョンを洗い出します。
- 15.x は 15.111.0 以降、16.x は 16.21.0 以降へ更新します（修正がこれらの版に入っていることは CNA の影響版情報からの推定です）。上位のアプリが版を固定している場合は、その提供元の案内を確認します。
- すぐに更新できない場合は、業務ロールを持つアカウントの棚卸しを行い、不要なアカウントや外部からの自己登録を止めます。管理画面への到達を信頼できるネットワークに限ることも有効です。
- 不審なテンプレート式（波括弧を含むメッセージ項目など）が保存されていないかを、データとログで確かめます。具体的な攻撃の指標は公開されておらず、未確認です。
未確認の点
- 「メッセージ項目」が具体的にどの機能・フィールドを指すか、どのロールで可能かは確認できていません（GitHub のアドバイザリ本文と VulnCheck のページは、この回では本文を取得できませんでした）。
- コード実行まで可能か、影響は情報漏えいや改ざんにとどまるかは確認していません。
- 実際の悪用、公開されている PoC、攻撃の再現は確認していません。KEV にも載っていません（確認時点の版）。
- 修正が 15.111.0・16.21.0 の具体的にどの変更で入ったかは確認していません。
- CVSS は VulnCheck（CNA）の値のみで、NVD 自身の評価は確認できていません。
- 日付は NVD の登録（2026-10-29 16:18 UTC）に基づきます。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-119144（NIST NVD）
- VulnCheck Advisory（Frappe Framework before 15.111.0 and 16.x before 16.21.0）（VulnCheck）
- GitHub アドバイザリ GHSA-6pmg-vc6m-6wrr（GitHub）
- FIRST EPSS CVE-2026-119144（FIRST）
- CISA KEV カタログ（CISA）
