Lago 1.55.0 までの招待受諾で、パスワード確認なしに既存アカウントの認証トークンを得られる欠陥（CVE-2026-119420）: 修正は main に反映済み、リリースは未公開

NVD は 2026-10-30 に、請求管理（課金基盤）のオープンソース「Lago」の CVE-2026-119420 を登録しました。1.55.0 までの版では、組織の管理者が acceptInvite という GraphQL の操作を使うと、既存アカウントのパスワードを確認されないまま、そのアカウントのセッショントークン（JWT）を取得できます。登録元（CNA）は VulnCheck です。

何が起きるか

• 攻撃者は、自分で作った組織から、狙う相手のメールアドレス宛てに招待を出します。その招待を任意のパスワードで受諾すると、相手本人としてのトークンが発行されます。
• そのトークンで、相手が所属する他の組織の請求データ、API キー、決済連携の設定にアクセスできます。
• 必要な条件は、自分で管理できる組織を 1 つ持つことです（権限は低〜中。ネットワーク経由で、利用者の操作は不要）。クラウド版の登録や、サインアップが無効でないセルフホスト環境では、この条件は満たしやすいと考えられます（推定）。
• 相手のパスワードは変更されません。メールボックスへのアクセスも要りません。
• 実際の悪用は確認していません。攻撃の具体的な送信内容は載せません。

修正の状況

• 修正は Lago の API リポジトリの main に 2026-10-15 に反映されています（コミット 5a9d593、PR #6146）。内容は、既存アカウントへの招待ではそのアカウントのパスワードを要求し、メンバーシップの追加だけを行うこと、ログイン済みの利用者向けに別の操作 joinOrganization を設けることです。
• 最新のリリースタグは v1.55.0（2026-10-07）のままで、修正を含むリリースは 2026-11-01 時点で確認できません。修正コミットは v1.55.0 より新しい main にあります。
• 回避策は確認できていません。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-119420（CWE-288）
影響版	Lago 1.55.0 まで
修正	main のコミット 5a9d593（2026-10-15）。修正版リリースは未確認
CVSS v3.1	8.8（High、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値
CVSS v4.0	8.7（High）。VulnCheck（CNA）の値
NVD の状態	Deferred（NVD 自身の評価は未実施）
EPSS	0.39%（パーセンタイル 33.6%、2026-10-31、FIRST）
KEV	掲載なし（CISA の JSON で確認）

severity を high とした理由

CVSS は 8.8 で、他の組織のアカウントを乗っ取り、請求データや API キーに届きます。一方で、攻撃者は自分の組織の管理者権限が必要で、EPSS は低く、KEV にも載っておらず、修正は main に入っています。以上から critical ではなく high としました。

対応として考えられること

1. 利用中の Lago の版を確認します。1.55.0 以前の場合は、修正を含む新しいリリースの公開を確認し、公開され次第更新します。
2. 修正のリリースを待てない場合は、main の修正コミットを取り込んだビルドを使う方法があります。ただし、検証を経ていないビルドを使うリスクがあるため、自社の検証が前提です。
3. 当面は、組織の新規サインアップを制限する、不審な招待の受諾を監視する、といった対策が考えられます（推定。効果は確認していません）。
4. 疑わしい場合は、API キーと決済連携の資格情報の再発行を検討します。

未確認の点

• 実際の悪用は確認していません。
• 修正を含むリリースの有無と時期は確認できていません。
• 1.55.0 より前の版の影響範囲は、CVE の記載（1.55.0 まで）以上には確認できていません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は VulnCheck（CNA）の値です。
• 第三者の調査記事が公開されていますが、本記事では内容を引用していません。