funadmin 7.1.0 のフロント側エンドポイントに SQL インジェクション、認証なしで遠隔から（CVE-2026-121610）: CVSS v3.1 7.3、攻撃コード公開・修正版は未確認

オープンソースの管理画面フレームワーク funadmin の 7.1.0 に、SQL インジェクション（CWE-74）があるとして、CVE-2026-121610 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。

何が起きるか

• NVD の記載によると、フロント側のリスト取得用エンドポイント（/frontend/ajax/index）で、Curd::selectList 関数の引数 selectFields を操作すると、SQL インジェクションが起きます。
• 遠隔から攻撃でき、CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N です。認証は不要と評価されています。機密性・完全性・可用性への影響はいずれも「低」です。
• 攻撃コードが公開されており、悪用されるおそれがあると記載されています。実際の悪用が確認されているかは未確認です。
• 参照先の公開資料の題名は「前台未授权 SQL 注入」（フロントの未認証 SQL インジェクション）という趣旨で、NVD の評価と整合しています。ただし本文の中身は確認していません。

影響を受ける版

• 対象は funadmin 7.1.0 と登録されています。ほかの版が影響を受けるかは未確認です。
• 登録元によると、ベンダーには事前に連絡したものの、応答はなかったとのことです。修正版は現時点で確認できていません（未確認）。

数値と severity

• CVSS v3.1 は 7.3（HIGH）、v4.0 は 5.5（MEDIUM）で、どちらも登録元の VulDB による評価です。両者に差があります。
• 認証不要ですが、CVSS 9 未満で影響の評価も「低」にとどまるため、critical にはせず severity は high とします。
• NVD の状態は「Deferred」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。

対策

• 7.1.0 を使っている場合は、公式の更新情報や修正の有無を確認してください（未確認）。
• 修正が出るまでの備えとして、/frontend/ajax/index への外部からのアクセスを Web サーバーや WAF で制限する、データベース接続用のアカウントの権限を最小限にする、アクセスログで selectFields に不審な値を含む要求がないか確認する、といった対応が考えられます。

未確認の点

• 7.1.0 以外の版が影響を受けるか。
• 修正版の有無、ベンダーの対応。
• 実際の悪用の有無（攻撃コードは公開済みと記載）。
• 取得・改ざんできるデータの具体的な範囲。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121610
• VulDB: CVE-2026-121610 の記録