---
title: "Frappe Framework のメッセージ項目がテンプレートとして評価され、認証済みユーザーがサーバー側テンプレートインジェクション（CVE-2026-119144）: 15.111.0・16.21.0 で修正、CVSS 8.8（VulnCheck）"
url: https://n-t-p.io/worldsecurity/articles/frappe-framework-ssti-message-fields-unrestricted-template-context-before-15-111-0-16-21-0-cve-2026-119144
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-119144
---

# Frappe Framework のメッセージ項目がテンプレートとして評価され、認証済みユーザーがサーバー側テンプレートインジェクション（CVE-2026-119144）: 15.111.0・16.21.0 で修正、CVSS 8.8（VulnCheck）

> **TL;DR:** Python 製の業務アプリ基盤 Frappe Framework で、ユーザーが制御できるメッセージ項目が無害化されずテンプレートとして描画され、一般的な業務ロールを持つ認証済みの攻撃者が、制限のない文脈でテンプレート式を評価させられると説明されている（CVE-2026-119144、CWE-1336）。15.111.0 より前、および 16.x の 16.21.0 より前が対象で、15.111.0・16.21.0 で修正。CVSS v3.1 は 8.8（VulnCheck が付与、NVD 自身の評価はなし）。EPSS 0.31%、KEV なし。

**要点**
- Frappe Framework 15.111.0 より前と 16.21.0 より前で、メッセージ項目の値が無害化されずにサーバー側でテンプレートとして描画される。一般的な業務ロールを持つ認証済みの攻撃者がテンプレート式を評価させられる
- 式は制限のない文脈で評価されると説明されている。コード実行まで可能かは未確認で、影響の広さは公開情報では分からない
- CVSS v3.1 は 8.8（VulnCheck の値、権限 Low・操作不要）。NVD の状態は Deferred。EPSS 0.31%（パーセンタイル 23.3%、10/31）、KEV なし、悪用の報告は未確認
- 対応は 15.111.0 以降・16.21.0 以降への更新（推定）。更新までは業務ロールのアカウントの棚卸しと自己登録の停止、管理画面への到達の限定
- GitHub アドバイザリ・VulnCheck ページの本文、対象の機能・ロール、コード実行の可否、悪用の有無は未確認

NVD は 2026-10-29（16:18 UTC）に、Python 製の業務アプリ基盤 Frappe Framework の CVE-2026-119144 を登録しました。説明によれば、**15.111.0 より前、および 16.x の 16.21.0 より前**の Frappe は、ユーザーが制御できるメッセージ項目を無害化せずにテンプレートとして描画します。**一般的な業務上のロールを持つ認証済みの攻撃者**が、テンプレート式を埋め込むと、サーバーが**制限のない文脈**でそれを評価する、とされています。弱点の分類は CWE-1336（テンプレートエンジンで使う特殊要素の不適切な無効化）です。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」です。

## 何が起きるか（CNA の説明）

- 対象は Frappe Framework 本体です。ERP などの業務アプリは Frappe の上で動くため、同じ基盤を使う環境が影響を受ける可能性があります（本記事の推定。個々の製品の影響は確認していません）。
- メッセージ系の項目に入力された値が、サーバー側でテンプレートとして描画されます。式が評価される文脈には制限がない、と説明されています。
- 必要なのは、一般的な業務ロール（特別な管理者権限ではない）を持つ認証済みアカウントです。ベクターでは、ネットワークから・攻撃の複雑さ Low・必要な権限 Low・操作不要で、機密性・完全性・可用性のすべてが High とされています。
- 制限のない文脈でのテンプレート評価は、一般にサーバー上でのコード実行につながり得ますが、本件でそこまで可能かは公開情報では確認できていません（本記事の推定を含む）。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119144（CWE-1336） |
| 影響 | Frappe Framework 15.111.0 より前、および 16.0.0 以上 16.21.0 未満（pkg:pypi/frappe） |
| 修正 | 15.111.0 および 16.21.0（NVD の影響版情報で「unaffected」。リリースノートでの該当項目は確認できていない） |
| CVSS v3.1 | 8.8（High、CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値 |
| CVSS v4.0 | 8.7（High）。同じく VulnCheck（CNA）の値 |
| 状態 | NVD の状態は「Deferred」（NVD 自身の評価はなし） |
| EPSS | 0.31%（パーセンタイル 23.3%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を high とした理由

CVSS は High（8.8）で、CNA の説明どおりなら認証後にサーバー側で式を評価できる点は重大です。一方、攻撃には認証済みアカウントが必要で、実際にコード実行まで至るかは未確認です。EPSS も低い水準で、KEV にも載っていません。以上を踏まえ、critical にはせず high としました。ユーザー登録を開放している環境や、権限の低い利用者が多い環境では優先度が上がります。

## 対応として考えられること

1. 自組織で Frappe（および Frappe 上の業務アプリ）を使っているかと、そのバージョンを洗い出します。
2. 15.x は 15.111.0 以降、16.x は 16.21.0 以降へ更新します（修正がこれらの版に入っていることは CNA の影響版情報からの推定です）。上位のアプリが版を固定している場合は、その提供元の案内を確認します。
3. すぐに更新できない場合は、業務ロールを持つアカウントの棚卸しを行い、不要なアカウントや外部からの自己登録を止めます。管理画面への到達を信頼できるネットワークに限ることも有効です。
4. 不審なテンプレート式（波括弧を含むメッセージ項目など）が保存されていないかを、データとログで確かめます。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 「メッセージ項目」が具体的にどの機能・フィールドを指すか、どのロールで可能かは確認できていません（GitHub のアドバイザリ本文と VulnCheck のページは、この回では本文を取得できませんでした）。
- コード実行まで可能か、影響は情報漏えいや改ざんにとどまるかは確認していません。
- 実際の悪用、公開されている PoC、攻撃の再現は確認していません。KEV にも載っていません（確認時点の版）。
- 修正が 15.111.0・16.21.0 の具体的にどの変更で入ったかは確認していません。
- CVSS は VulnCheck（CNA）の値のみで、NVD 自身の評価は確認できていません。
- 日付は NVD の登録（2026-10-29 16:18 UTC）に基づきます。


## 出典
- [NVD CVE-2026-119144](https://nvd.nist.gov/vuln/detail/CVE-2026-119144) — NIST NVD
- [VulnCheck Advisory（Frappe Framework before 15.111.0 and 16.x before 16.21.0）](https://www.vulncheck.com/advisories/frappe-framework-before-15.111.0-and-16-x-before-16.21.0-server-side-template-injection-via-message-fields) — VulnCheck
- [GitHub アドバイザリ GHSA-6pmg-vc6m-6wrr](https://github.com/frappe/frappe/security/advisories/GHSA-6pmg-vc6m-6wrr) — GitHub
- [FIRST EPSS CVE-2026-119144](https://api.first.org/data/v1/epss?cve=CVE-2026-119144) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/frappe-framework-ssti-message-fields-unrestricted-template-context-before-15-111-0-16-21-0-cve-2026-119144