FreeMail の /api/create に認可バイパス（CVE-2026-119049、CVSS v3.1 7.6／v4.0 7.2）: 他人のメールボックスを共同所有でき、メールや認証コードを読めるおそれ、5.3.2 で修正

NVD は 2026-10-29 に、オープンソースの一時メール（使い捨てメールボックス）サービス FreeMail の脆弱性 CVE-2026-119049 を登録しました。5.3.2 より前の版で、ログイン済みの利用者が、他人の既存のメールボックスを自分のものとして取り込める認可バイパス（CWE-639）があります。登録元（CNA）は VulnCheck で、CVSS は v3.1 が 7.6（High）、v4.0 が 7.2（High）です。修正は FreeMail 5.3.2 に含まれます。

何が起きるか

• メールボックスを作る API（POST /api/create）で、すでに他の利用者が持っているアドレスを指定すると、内部の assignMailboxToUser 処理により、その利用者に加えて自分も共同の所有者になれます。
• 攻撃者は被害者のメールアドレスを知っていればよく、必要な権限は一般のログインだけです。
• 共同所有者になると、そのメールボックス宛てのメールの閲覧、受信した認証コードの読み取り、転送設定の変更、メールの削除ができるとされています。
• CVSS v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L です。機密性への影響が大きく、完全性・可用性への影響は限定的と評価されています。
• 使い捨てアドレスが他サービスの会員登録や認証コードの受信に使われている場合、そのサービスのアカウント乗っ取りの足がかりになるおそれがあります。本記事では攻撃の具体的な手順は扱いません。

修正の状況

• FreeMail 5.3.2 で修正済みです。参照先には、修正のコミット、プロジェクトの課題ページ、リリースページ、VulnCheck の勧告があります。
• 影響を受ける版の下限は示されていません。5.3.2 より前の版は対象として扱うのが安全です。
• 回避策の公式な案内は確認できていません。

数値と出典（2026-11-02 時点）

CVE	箇所	種類	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-119049	POST /api/create（メールボックスの割り当て）	認可バイパス（他者リソースの取り込み）	一般ログイン	7.6	7.2	CWE-639	0.39%（11/1）

• NVD の状態は Deferred で、NVD 自身の評価はありません。CVSS は VulnCheck（CNA）の値です。
• EPSS（FIRST）は 2026-11-01 の算出で 0.39%（パーセンタイル 33%）です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、2026.10.30 版・1766 件）。実際の攻撃での悪用は確認していません。

severity を high とした理由

CVSS v3.1 は 7.6 で、他人のメールと認証コードを読めるため機密性への影響が大きい一方、利用にはログインが必要で、完全性・可用性への影響は限定的です。悪用の確認・KEV はなく、EPSS も 0.39% と低く、修正版（5.3.2）が公開済みです。FreeMail は主に個人や小規模の運用で使われるOSSと考えられ、影響範囲は広くないと見られますが、利用者数は確認できていません。このため critical ではなく high としています。

対応として考えられること

1. FreeMail を自社・自組織で運用していないか確認し、版を調べます。
2. 5.3.2 より前であれば、5.3.2 以降に更新します。更新前に、データベースのバックアップを取ります。
3. 更新までの間、利用者登録を制限し、不要なアカウントを停止します（推定）。
4. 重要なサービスの登録や認証コードの受信に、このサービスの使い捨てアドレスを使っていないか確認します（推定）。
5. 転送設定の変更や、想定外のメールボックスの共同所有（所有者の追加）がないかを、ログとデータベースで確認します（推定）。
6. 侵害の疑いがある場合は、そのアドレスで登録した外部サービスのパスワードの再設定と、認証コードの再発行を行います（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 影響を受ける版の下限と、更新前に使える公式な回避策は確認できていません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は CNA の値です。