---
title: "funadmin 7.1.0 のフロント側エンドポイントに SQL インジェクション、認証なしで遠隔から（CVE-2026-121610）: CVSS v3.1 7.3、攻撃コード公開・修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/funadmin-cve-2026-121610-frontend-selectfields-sql-injection
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121610
---

# funadmin 7.1.0 のフロント側エンドポイントに SQL インジェクション、認証なしで遠隔から（CVE-2026-121610）: CVSS v3.1 7.3、攻撃コード公開・修正版は未確認

> **TL;DR:** funadmin 7.1.0 の /frontend/ajax/index で selectFields の操作による SQL インジェクション（CVE-2026-121610、CWE-74、CVSS v3.1 7.3）。認証不要で遠隔から攻撃でき、攻撃コードは公開済み。修正版・実際の悪用の有無は未確認。

**要点**
- funadmin 7.1.0 のフロント側エンドポイントで、selectFields の操作により SQL インジェクションが起きる（CVE-2026-121610、CWE-74）。
- CVSS v3.1 は 7.3、v4.0 は 5.5。認証不要で遠隔から攻撃可、影響は機密性・完全性・可用性とも低と評価。
- 攻撃コードは公開済みと記載。ベンダーは連絡に応答せず、修正版は未確認。
- /frontend/ajax/index への外部アクセス制限と、DB 権限の最小化を検討する。

オープンソースの管理画面フレームワーク funadmin の 7.1.0 に、SQL インジェクション（CWE-74）があるとして、CVE-2026-121610 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。

## 何が起きるか
- NVD の記載によると、フロント側のリスト取得用エンドポイント（/frontend/ajax/index）で、Curd::selectList 関数の引数 selectFields を操作すると、SQL インジェクションが起きます。
- 遠隔から攻撃でき、CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N です。認証は不要と評価されています。機密性・完全性・可用性への影響はいずれも「低」です。
- 攻撃コードが公開されており、悪用されるおそれがあると記載されています。実際の悪用が確認されているかは未確認です。
- 参照先の公開資料の題名は「前台未授权 SQL 注入」（フロントの未認証 SQL インジェクション）という趣旨で、NVD の評価と整合しています。ただし本文の中身は確認していません。

## 影響を受ける版
- 対象は funadmin 7.1.0 と登録されています。ほかの版が影響を受けるかは未確認です。
- 登録元によると、ベンダーには事前に連絡したものの、応答はなかったとのことです。修正版は現時点で確認できていません（未確認）。

## 数値と severity
- CVSS v3.1 は 7.3（HIGH）、v4.0 は 5.5（MEDIUM）で、どちらも登録元の VulDB による評価です。両者に差があります。
- 認証不要ですが、CVSS 9 未満で影響の評価も「低」にとどまるため、critical にはせず severity は high とします。
- NVD の状態は「Deferred」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。

## 対策
- 7.1.0 を使っている場合は、公式の更新情報や修正の有無を確認してください（未確認）。
- 修正が出るまでの備えとして、/frontend/ajax/index への外部からのアクセスを Web サーバーや WAF で制限する、データベース接続用のアカウントの権限を最小限にする、アクセスログで selectFields に不審な値を含む要求がないか確認する、といった対応が考えられます。

## 未確認の点
- 7.1.0 以外の版が影響を受けるか。
- 修正版の有無、ベンダーの対応。
- 実際の悪用の有無（攻撃コードは公開済みと記載）。
- 取得・改ざんできるデータの具体的な範囲。
- NVD の最終評価、EPSS、KEV の掲載状況。

## 出典
- NVD: CVE-2026-121610
- VulDB: CVE-2026-121610 の記録


## 出典
- [NVD CVE-2026-121610](https://nvd.nist.gov/vuln/detail/CVE-2026-121610) — NIST NVD
- [VulDB CVE-2026-121610](https://vuldb.com/cve/CVE-2026-121610) — VulDB

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/funadmin-cve-2026-121610-frontend-selectfields-sql-injection