---
title: "FreeMail の /api/create に認可バイパス（CVE-2026-119049、CVSS v3.1 7.6／v4.0 7.2）: 他人のメールボックスを共同所有でき、メールや認証コードを読めるおそれ、5.3.2 で修正"
url: https://n-t-p.io/worldsecurity/articles/freemail-api-create-mailbox-claiming-authorization-bypass-before-5-3-2-cve-2026-119049
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-119049
---

# FreeMail の /api/create に認可バイパス（CVE-2026-119049、CVSS v3.1 7.6／v4.0 7.2）: 他人のメールボックスを共同所有でき、メールや認証コードを読めるおそれ、5.3.2 で修正

> **TL;DR:** FreeMail 5.3.2 より前の POST /api/create に認可バイパス（CVE-2026-119049）。ログイン済みの利用者が既存のメールボックスの共同所有者になり、メールや認証コードの閲覧、転送設定、削除ができるとされる。CVSS v3.1 7.6／v4.0 7.2。EPSS 0.39%、KEV なし。5.3.2 で修正済み。

**要点**
- FreeMail 5.3.2 より前で、POST /api/create により他人の既存メールボックスの共同所有者になれる（CWE-639、CVE-2026-119049）
- 被害者のアドレスを知っていれば、一般ログインでメール・認証コードの閲覧、転送設定の変更、メール削除ができるとされる
- CVSS は v3.1 が 7.6、v4.0 が 7.2（VulnCheck＝CNA の値）。NVD は Deferred（独自評価なし）
- EPSS は 0.39%（11/1）、KEV なし。実際の悪用は未確認。修正は 5.3.2
- 対策は、5.3.2 以降への更新、利用者登録の制限、所有者追加・転送設定のログ確認（一部は推定）

NVD は 2026-10-29 に、オープンソースの一時メール（使い捨てメールボックス）サービス FreeMail の脆弱性 CVE-2026-119049 を登録しました。5.3.2 より前の版で、ログイン済みの利用者が、他人の既存のメールボックスを自分のものとして取り込める認可バイパス（CWE-639）があります。登録元（CNA）は VulnCheck で、CVSS は v3.1 が 7.6（High）、v4.0 が 7.2（High）です。修正は FreeMail 5.3.2 に含まれます。

## 何が起きるか

- メールボックスを作る API（POST /api/create）で、すでに他の利用者が持っているアドレスを指定すると、内部の assignMailboxToUser 処理により、その利用者に加えて自分も共同の所有者になれます。
- 攻撃者は被害者のメールアドレスを知っていればよく、必要な権限は一般のログインだけです。
- 共同所有者になると、そのメールボックス宛てのメールの閲覧、受信した認証コードの読み取り、転送設定の変更、メールの削除ができるとされています。
- CVSS v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L です。機密性への影響が大きく、完全性・可用性への影響は限定的と評価されています。
- 使い捨てアドレスが他サービスの会員登録や認証コードの受信に使われている場合、そのサービスのアカウント乗っ取りの足がかりになるおそれがあります。本記事では攻撃の具体的な手順は扱いません。

## 修正の状況

- FreeMail 5.3.2 で修正済みです。参照先には、修正のコミット、プロジェクトの課題ページ、リリースページ、VulnCheck の勧告があります。
- 影響を受ける版の下限は示されていません。5.3.2 より前の版は対象として扱うのが安全です。
- 回避策の公式な案内は確認できていません。

## 数値と出典（2026-11-02 時点）

| CVE | 箇所 | 種類 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS |
|---|---|---|---|---|---|---|---|
| CVE-2026-119049 | POST /api/create（メールボックスの割り当て） | 認可バイパス（他者リソースの取り込み） | 一般ログイン | 7.6 | 7.2 | CWE-639 | 0.39%（11/1） |

- NVD の状態は Deferred で、NVD 自身の評価はありません。CVSS は VulnCheck（CNA）の値です。
- EPSS（FIRST）は 2026-11-01 の算出で 0.39%（パーセンタイル 33%）です。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、2026.10.30 版・1766 件）。実際の攻撃での悪用は確認していません。

## severity を high とした理由

CVSS v3.1 は 7.6 で、他人のメールと認証コードを読めるため機密性への影響が大きい一方、利用にはログインが必要で、完全性・可用性への影響は限定的です。悪用の確認・KEV はなく、EPSS も 0.39% と低く、修正版（5.3.2）が公開済みです。FreeMail は主に個人や小規模の運用で使われるOSSと考えられ、影響範囲は広くないと見られますが、利用者数は確認できていません。このため critical ではなく high としています。

## 対応として考えられること

1. FreeMail を自社・自組織で運用していないか確認し、版を調べます。
2. 5.3.2 より前であれば、5.3.2 以降に更新します。更新前に、データベースのバックアップを取ります。
3. 更新までの間、利用者登録を制限し、不要なアカウントを停止します（推定）。
4. 重要なサービスの登録や認証コードの受信に、このサービスの使い捨てアドレスを使っていないか確認します（推定）。
5. 転送設定の変更や、想定外のメールボックスの共同所有（所有者の追加）がないかを、ログとデータベースで確認します（推定）。
6. 侵害の疑いがある場合は、そのアドレスで登録した外部サービスのパスワードの再設定と、認証コードの再発行を行います（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 影響を受ける版の下限と、更新前に使える公式な回避策は確認できていません。
- NVD 自身の評価は未実施（Deferred）です。CVSS は CNA の値です。


## 出典
- [NVD CVE-2026-119049](https://nvd.nist.gov/vuln/detail/CVE-2026-119049) — NIST NVD
- [VulnCheck 勧告（FreeMail /api/create 認可バイパス）](https://www.vulncheck.com/advisories/freemail-before-5.3.2-authorization-bypass-via-api-create-mailbox-claiming) — VulnCheck
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119049) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/freemail-api-create-mailbox-claiming-authorization-bypass-before-5-3-2-cve-2026-119049