--- title: "Herowatch Go Server に IDOR、パラメータの書き換えで他のユーザーのデータにアクセスされるおそれ（CVE-2026-121817）: CVSS v3.1 7.5、修正版・悪用の有無は未確認" url: https://n-t-p.io/worldsecurity/articles/herowatch-go-server-cve-2026-121817-idor-other-users-data lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121817 --- # Herowatch Go Server に IDOR、パラメータの書き換えで他のユーザーのデータにアクセスされるおそれ（CVE-2026-121817）: CVSS v3.1 7.5、修正版・悪用の有無は未確認 > **TL;DR:** About Time Technologies の Herowatch Go Server（全版）に IDOR（CVE-2026-121817、CWE-639、CVSS v3.1 7.5）。パラメータの書き換えで他のユーザーのデータにアクセスされるおそれ。ログイン要否は本文とベクターで食い違い、修正版・悪用の有無は未確認。 **要点** - Herowatch Go Server で、パラメータの書き換えにより他のユーザーのデータにアクセスされるおそれ（CVE-2026-121817、CWE-639）。 - CVSS v3.1 は 7.5、v4.0 は 8.7。影響は機密性のみ。NVD の状態は Received。 - 本文は認証済み、ベクターは PR:N で食い違い、ログイン要否は未確認。 - 修正版・悪用の有無は未確認。TWCERT/CC の勧告を確認する。 About Time Technologies の Herowatch Go Server に、IDOR（安全でない直接オブジェクト参照、CWE-639）があるとして、CVE-2026-121817 が 2026-11-04 に NVD に登録されました。登録元は台湾の TWCERT/CC です。同じ日に同社製品の CVE-2026-121816（ADB の認証なし）と CVE-2026-121818（公開テスト鍵による署名不備）も登録されていますが、別の番号です。 ## 何が起きるか - NVD の記載によると、認証済みのリモートの攻撃者が特定のパラメータを書き換えることで、他のユーザーのデータや機能にアクセスできます。 - CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N で、機密性への影響のみ「高」、完全性・可用性への影響はなしです。つまり、評価上はデータの読み取りが中心です。 - 本文は「認証済み」としていますが、ベクターの必要な権限は PR:N（不要）です。両者が食い違っており、実際にログインが要るかどうかは未確認です。 ## 影響を受ける版 - 対象は Herowatch Go Server で、版は「all」（すべて）と登録されています。CPE は付いていません。 - 修正版やベンダーの対応は NVD の記載からは分かりません（未確認）。 ## 数値と severity - CVSS v3.1 は 7.5（HIGH）、CVSS v4.0 は 8.7（HIGH）で、どちらも登録元の TWCERT/CC による評価です。v4.0 のベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N です。 - CVSS 9 未満で、影響も情報の漏えいに限られるため、critical にはせず severity は high とします。 - NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 対策 - TWCERT/CC の勧告を確認し、ベンダーから修正版や回避策が出ているかを確かめてください（未確認）。 - 当面の備えとして、Herowatch Go Server への接続元を必要なネットワークに限る、アクセスログで他のユーザーの ID を指定した不審な要求がないか確認する、といった対応が考えられます。 ## 未確認の点 - ログインの要否（本文は認証済み、ベクターは PR:N）。 - 具体的なパラメータ、取得できるデータの範囲。 - 修正版の有無、悪用の有無、攻撃コードの流通。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121817 - TWCERT/CC: Herowatch Go Server の勧告（英語版） - TWCERT/CC: 同勧告（中国語版） ## 出典 - [NVD CVE-2026-121817](https://nvd.nist.gov/vuln/detail/CVE-2026-121817) — NIST NVD - [TWCERT/CC 勧告（英語）](https://www.twcert.org.tw/en/cp-139-11364-0dce6-2.html) — TWCERT/CC - [TWCERT/CC 勧告（中国語）](https://www.twcert.org.tw/tw/cp-132-11366-d92ac-1.html) — TWCERT/CC --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/herowatch-go-server-cve-2026-121817-idor-other-users-data