検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

madong-admin-saas のプラットフォーム管理 API が認証なしで呼べる CVE-2026-120446（CVSS v3.1 9.4）: 5.1.4 以前でテナントの作成・変更・削除が可能、コミット 2a199a1 で修正

World Security 編集部
目次（6）

CVE-2026-120446

VulnCheck は 2026-11-02 に、PHP 製のマルチテナント SaaS 管理基盤「madong-admin-saas」の脆弱性 CVE-2026-120446 を公開し、NVD も同日に登録しました。プラットフォーム管理側のテナント管理 API で、認証のミドルウェアが正しいアプリケーションに結び付いておらず、認証なしのリモートの第三者がテナントの一覧取得・作成・変更・無効化・削除、サブスクリプションプランの紐付けを行えるおそれがあります。5.1.4 までの版が対象で、修正はコミット 2a199a1 です。

何が起きるか

  • 種類（CWE-306）: 重要な機能に対する認証の欠落です。
  • 原因: 設定ファイルで認証などのミドルウェアを結び付けるキーが platformapi（ルートの接頭辞）になっており、実際のアプリケーション名 platform と一致しません。その結果、プラットフォーム側のコントローラに認証ミドルウェアが適用されませんでした。
  • 到達方法: /platformapi/tenant/account、bind-plan、sync-data といったエンドポイントに、認証なしでネットワーク越しにリクエストを送れます。
  • 影響: テナントの一覧・作成・変更・無効化・削除と、プランの紐付け（NVD の記述）。公開されている報告（修正コミットが閉じた GitHub の issue）では、マルチテナントモード（tenant.enable=true）で、プラットフォーム管理者の作成やテナントの DB 接続設定の読み取りにも至り得るとされています。
  • 評価: CVSS v3.1 は 9.4（CRITICAL。AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H）、CVSS v4.0 は 8.8（HIGH）です。どちらも VulnCheck が付けた値で、NVD 自身の分析は未実施（Received）です。
  • 攻撃の具体的な手順は、本記事では扱いません。

影響範囲と修正

項目内容
影響を受ける版madong-admin-saas 5.1.4 までのすべての版
修正コミット 2a199a1（2026-11-02 に公開）。プラットフォーム側の認証ミドルウェアが管理者の種別を無条件に検証するようになり、設定のキーも platform に直った
回避策公式の回避策の記載は確認できていません。修正を取り込むまでは、/platformapi への外部からのアクセスをリバースプロキシやファイアウォールで制限する対応が考えられます
リリース番号修正を含む版番号は確認できていません（GitHub のリリース一覧は空）

数値と出典（2026-11-03 時点）

項目内容
CVECVE-2026-120446
CVSS v3.19.4（CRITICAL。AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H、種別 Primary、提供元は VulnCheck）
CVSS v4.08.8（HIGH。種別 Secondary）
CWECWE-306
NVD の状態Received（NVD 自身の分析は未実施）
NVD 公開日2026-11-02
EPSS未算定（FIRST の API に該当データなし）
KEV掲載なし（CISA のカタログに該当なし）
出典NVD、VulnCheck のアドバイザリ、FIRST（EPSS）、CISA（KEV）

severity を critical とした提案の理由

認証が不要（PR:N）で、ネットワークから低い複雑さで到達でき、CVSS v3.1 が 9.4 です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い、critical を提案します。

対応として考えられること

  1. madong-admin-saas を使っているかを確認し、使っている場合は版を調べます（5.1.4 以前が対象）。
  2. コミット 2a199a1 を含むコードへ更新します。
  3. 更新までの間は、/platformapi を外部に公開しないようにし、アクセスログでテナント管理系のエンドポイントへの想定外のリクエストがないかを見ます。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • 利用している環境の数は確認できていません。
  • 修正を含む正式なリリース番号は確認できていません。
  • マルチテナントモード以外の設定での到達性は、公開された情報だけでは確認できていません。
  • NVD の分析は未実施です。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事