---
title: "Lago 1.55.0 までの招待受諾で、パスワード確認なしに既存アカウントの認証トークンを得られる欠陥（CVE-2026-119420）: 修正は main に反映済み、リリースは未公開"
url: https://n-t-p.io/worldsecurity/articles/lago-acceptinvite-authentication-bypass-account-takeover-cve-2026-119420-1-55-0-and-earlier-fix-in-main
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-119420
---

# Lago 1.55.0 までの招待受諾で、パスワード確認なしに既存アカウントの認証トークンを得られる欠陥（CVE-2026-119420）: 修正は main に反映済み、リリースは未公開

> **TL;DR:** 請求基盤 Lago の 1.55.0 までは、acceptInvite の招待受諾でパスワード確認がなく、組織の管理者が既存アカウントの認証トークンを取得できる（CVE-2026-119420、CWE-288）。他組織の請求データや API キーに届く。CVSS v3.1 は 8.8（VulnCheck）、EPSS 0.39%、KEV なし。修正は main に反映済みで、リリースは未確認。

**要点**
- Lago 1.55.0 までが対象。acceptInvite が既存アカウントのパスワードを確認せずトークンを発行する（CWE-288）
- 自組織の管理者が相手のメールに招待を出して受諾するだけで、相手の所属する他組織の請求データ・API キー・決済連携に届く
- CVSS v3.1 は 8.8（VulnCheck の値）。EPSS 0.39%、KEV なし、NVD は Deferred
- 修正は main のコミット 5a9d593（10/15）。最新リリースは v1.55.0 のままで、修正版リリースは未確認
- 実際の悪用とリリース時期は未確認。当面の対策は推定

NVD は 2026-10-30 に、請求管理（課金基盤）のオープンソース「Lago」の CVE-2026-119420 を登録しました。1.55.0 までの版では、組織の管理者が `acceptInvite` という GraphQL の操作を使うと、既存アカウントのパスワードを確認されないまま、そのアカウントのセッショントークン（JWT）を取得できます。登録元（CNA）は VulnCheck です。

## 何が起きるか

- 攻撃者は、自分で作った組織から、狙う相手のメールアドレス宛てに招待を出します。その招待を任意のパスワードで受諾すると、相手本人としてのトークンが発行されます。
- そのトークンで、相手が所属する他の組織の請求データ、API キー、決済連携の設定にアクセスできます。
- 必要な条件は、自分で管理できる組織を 1 つ持つことです（権限は低〜中。ネットワーク経由で、利用者の操作は不要）。クラウド版の登録や、サインアップが無効でないセルフホスト環境では、この条件は満たしやすいと考えられます（推定）。
- 相手のパスワードは変更されません。メールボックスへのアクセスも要りません。
- 実際の悪用は確認していません。攻撃の具体的な送信内容は載せません。

## 修正の状況

- 修正は Lago の API リポジトリの main に 2026-10-15 に反映されています（コミット 5a9d593、PR #6146）。内容は、既存アカウントへの招待ではそのアカウントのパスワードを要求し、メンバーシップの追加だけを行うこと、ログイン済みの利用者向けに別の操作 `joinOrganization` を設けることです。
- 最新のリリースタグは v1.55.0（2026-10-07）のままで、修正を含むリリースは 2026-11-01 時点で確認できません。修正コミットは v1.55.0 より新しい main にあります。
- 回避策は確認できていません。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119420（CWE-288） |
| 影響版 | Lago 1.55.0 まで |
| 修正 | main のコミット 5a9d593（2026-10-15）。修正版リリースは未確認 |
| CVSS v3.1 | 8.8（High、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値 |
| CVSS v4.0 | 8.7（High）。VulnCheck（CNA）の値 |
| NVD の状態 | Deferred（NVD 自身の評価は未実施） |
| EPSS | 0.39%（パーセンタイル 33.6%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を high とした理由

CVSS は 8.8 で、他の組織のアカウントを乗っ取り、請求データや API キーに届きます。一方で、攻撃者は自分の組織の管理者権限が必要で、EPSS は低く、KEV にも載っておらず、修正は main に入っています。以上から critical ではなく high としました。

## 対応として考えられること

1. 利用中の Lago の版を確認します。1.55.0 以前の場合は、修正を含む新しいリリースの公開を確認し、公開され次第更新します。
2. 修正のリリースを待てない場合は、main の修正コミットを取り込んだビルドを使う方法があります。ただし、検証を経ていないビルドを使うリスクがあるため、自社の検証が前提です。
3. 当面は、組織の新規サインアップを制限する、不審な招待の受諾を監視する、といった対策が考えられます（推定。効果は確認していません）。
4. 疑わしい場合は、API キーと決済連携の資格情報の再発行を検討します。

## 未確認の点

- 実際の悪用は確認していません。
- 修正を含むリリースの有無と時期は確認できていません。
- 1.55.0 より前の版の影響範囲は、CVE の記載（1.55.0 まで）以上には確認できていません。
- NVD 自身の評価は未実施（Deferred）です。CVSS は VulnCheck（CNA）の値です。
- 第三者の調査記事が公開されていますが、本記事では内容を引用していません。


## 出典
- [NVD CVE-2026-119420](https://nvd.nist.gov/vuln/detail/CVE-2026-119420) — NIST NVD
- [CVE-2026-119420 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-119420) — CVE Program
- [VulnCheck アドバイザリ](https://www.vulncheck.com/advisories/lago-through-1.55.0-authentication-bypass-via-acceptinvite-graphql-mutation) — VulnCheck
- [修正コミット 5a9d593（PR #6146）](https://github.com/getlago/lago-api/commit/5a9d5935b027d1db7171c7c015283d5870451305) — Lago（GitHub）
- [Lago API リポジトリ](https://github.com/getlago/lago-api) — Lago（GitHub）
- [FIRST EPSS CVE-2026-119420](https://api.first.org/data/v1/epss?cve=CVE-2026-119420) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/lago-acceptinvite-authentication-bypass-account-takeover-cve-2026-119420-1-55-0-and-earlier-fix-in-main