Herowatch Go Server に IDOR、パラメータの書き換えで他のユーザーのデータにアクセスされるおそれ（CVE-2026-121817）: CVSS v3.1 7.5、修正版・悪用の有無は未確認

About Time Technologies の Herowatch Go Server に、IDOR（安全でない直接オブジェクト参照、CWE-639）があるとして、CVE-2026-121817 が 2026-11-04 に NVD に登録されました。登録元は台湾の TWCERT/CC です。同じ日に同社製品の CVE-2026-121816（ADB の認証なし）と CVE-2026-121818（公開テスト鍵による署名不備）も登録されていますが、別の番号です。

何が起きるか

• NVD の記載によると、認証済みのリモートの攻撃者が特定のパラメータを書き換えることで、他のユーザーのデータや機能にアクセスできます。
• CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N で、機密性への影響のみ「高」、完全性・可用性への影響はなしです。つまり、評価上はデータの読み取りが中心です。
• 本文は「認証済み」としていますが、ベクターの必要な権限は PR:N（不要）です。両者が食い違っており、実際にログインが要るかどうかは未確認です。

影響を受ける版

• 対象は Herowatch Go Server で、版は「all」（すべて）と登録されています。CPE は付いていません。
• 修正版やベンダーの対応は NVD の記載からは分かりません（未確認）。

数値と severity

• CVSS v3.1 は 7.5（HIGH）、CVSS v4.0 は 8.7（HIGH）で、どちらも登録元の TWCERT/CC による評価です。v4.0 のベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N です。
• CVSS 9 未満で、影響も情報の漏えいに限られるため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。

対策

• TWCERT/CC の勧告を確認し、ベンダーから修正版や回避策が出ているかを確かめてください（未確認）。
• 当面の備えとして、Herowatch Go Server への接続元を必要なネットワークに限る、アクセスログで他のユーザーの ID を指定した不審な要求がないか確認する、といった対応が考えられます。

未確認の点

• ログインの要否（本文は認証済み、ベクターは PR:N）。
• 具体的なパラメータ、取得できるデータの範囲。
• 修正版の有無、悪用の有無、攻撃コードの流通。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121817
• TWCERT/CC: Herowatch Go Server の勧告（英語版）
• TWCERT/CC: 同勧告（中国語版）