---
title: "FTS3 Web Monitoring（fts-monitoring）3.13.3・3.14.1 より前の CVE-2025-71458: /linkinfo の SQL インジェクションを認証なしで突かれ、保存されたクラウドストレージの認証情報やトークン提供元のクライアントシークレットを読み取られる恐れ"
url: https://n-t-p.io/worldsecurity/articles/fts3-web-monitoring-cve-2025-71458-linkinfo-unauthenticated-sql-injection-cloud-credentials
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2025-71458
---

# FTS3 Web Monitoring（fts-monitoring）3.13.3・3.14.1 より前の CVE-2025-71458: /linkinfo の SQL インジェクションを認証なしで突かれ、保存されたクラウドストレージの認証情報やトークン提供元のクライアントシークレットを読み取られる恐れ

> **TL;DR:** FTS3 Web Monitoring（fts-monitoring）3.12.0〜3.13.2 と 3.14.0 で、/linkinfo の source_se・dest_se から認証なしでブラインド SQL インジェクションができ、保存されたクラウドストレージの認証情報やトークン提供元のクライアントシークレットを読まれる恐れ（CVE-2025-71458、CVSS v4.0 8.7・v3.1 7.5）。9 未満のため severity 案は high。3.13.3・3.14.1 で修正。悪用は未確認。

**要点**
- /linkinfo の get_linkinfo が source_se・dest_se をそのまま SQL に使い、認証なしでブラインド SQL インジェクションができる（CWE-89）。
- 読み取れる対象は、保存されたクラウドストレージの認証情報とトークン提供元のクライアントシークレット。
- 影響は 3.12.0〜3.13.2 と 3.14.0。3.13.3・3.14.1 で修正。
- VulnCheck の評価は CVSS v4.0 8.7・v3.1 7.5。認証不要だが 9 未満のため severity 案は high。
- 悪用・参照先の勧告の中身・NVD 最終評価は未確認。EPSS は未算出。

FTS3 Web Monitoring（fts-monitoring。大規模なファイル転送サービス FTS3 の状態を見る Web 画面）の 3.12.0 から 3.13.2、および 3.14.0 に、SQL インジェクションの欠陥（**CVE-2025-71458**）が NVD に登録されました。登録は 2026-11-06 で、NVD の状態は Received（受付済み）です。登録元は VulnCheck で、修正版は 3.13.3 と 3.14.1 と記載されています。

## 何が起きるか
- `/linkinfo` エンドポイントの処理（get_linkinfo）が、クエリパラメーター `source_se` と `dest_se` をそのまま SQL に使います（CWE-89）。
- 認証なしでネットワークから届く攻撃者が、ブラインド型（結果が直接返らず、応答の違いから少しずつ読み取る方式）の SQL インジェクションを行えます。
- 記載されている影響は、データベースに保存されたクラウドストレージの認証情報と、トークン提供元（token provider）のクライアントシークレットの読み取りです。書き換えや停止の記載はありません。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| fts-monitoring | 3.12.0 以上 3.13.3 未満 | 3.13.3 |
| fts-monitoring | 3.14.0 | 3.14.1 |

## 評価
| 評価元 | 版 | 点数 | ベクターの要点 |
|---|---|---|---|
| VulnCheck（NVD 掲載。Secondary） | CVSS v4.0 | 8.7 | AV:N/AC:L/AT:N/PR:N/UI:N・機密性 高 |
| VulnCheck（NVD 掲載。Primary） | CVSS v3.1 | 7.5 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |

- 認証は不要ですが、点数は 9 未満です。critical の基準（認証不要かつ 9 以上）には当たらないため、severity は **high** が案になります。
- 漏れる対象が、他のストレージやトークン提供元につながる資格情報なので、被害は fts-monitoring の画面だけにとどまらない恐れがあります。
- FIRST の EPSS は、2026-11-06 時点でまだ算出されていません。CISA の KEV には掲載がありません。

## 対策として考えられること
1. fts-monitoring を 3.13.3 以降（3.14.0 を使っている場合は 3.14.1 以降）に更新します。
2. 更新までの間は、監視画面をインターネットに公開せず、社内・信頼できるネットワークだけに限ります。`/linkinfo` へのアクセスをリバースプロキシなどで止めることも考えられます。
3. 監視画面がつながるデータベースに保存されているクラウドストレージの認証情報・クライアントシークレットは、漏れた可能性を考えて入れ替えを検討します。
4. アクセスログに `/linkinfo` への不審なパラメーター（`source_se`・`dest_se` に SQL の記号や長い文字列）がないか確認します。

## 未確認の点
- 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
- 参照先の EGI の勧告（Advisory-EGI-SVG-2025-09）、修正のコミット、v3.13.3・v3.14.1 リリース、VulnCheck の勧告の中身（本稿では開いていません）。
- 3.12.0 より前の版が影響を受けるか。
- NVD の最終評価（現在は Received で、変わる可能性があります）。


## 出典
- [NVD CVE-2025-71458](https://nvd.nist.gov/vuln/detail/CVE-2025-71458) — NIST NVD
- [VulnCheck Advisory（NVD の参照先。未取得）](https://www.vulncheck.com/advisories/fts3-web-monitoring-3.12.0-through-3.13.2-and-3.14.0-sql-injection-via-linkinfo) — VulnCheck
- [EGI Advisory-EGI-SVG-2025-09（NVD の参照先。未取得）](https://advisories.egi.eu/Advisory-EGI-SVG-2025-09) — EGI
- [fts-monitoring v3.13.3 リリース（NVD の参照先。未取得）](https://github.com/cern-fts/fts-monitoring/releases/tag/v3.13.3) — GitHub
- [fts-monitoring v3.14.1 リリース（NVD の参照先。未取得）](https://github.com/cern-fts/fts-monitoring/releases/tag/v3.14.1) — GitHub
- [FIRST EPSS API（2026-11-06 時点で値なし）](https://api.first.org/data/v1/epss?cve=CVE-2025-71458) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/fts3-web-monitoring-cve-2025-71458-linkinfo-unauthenticated-sql-injection-cloud-credentials