--- title: "madong-admin-saas のプラットフォーム管理 API が認証なしで呼べる CVE-2026-120446（CVSS v3.1 9.4）: 5.1.4 以前でテナントの作成・変更・削除が可能、コミット 2a199a1 で修正" url: https://n-t-p.io/worldsecurity/articles/madong-admin-saas-platform-tenant-api-missing-auth-cve-2026-120446 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-120446 --- # madong-admin-saas のプラットフォーム管理 API が認証なしで呼べる CVE-2026-120446（CVSS v3.1 9.4）: 5.1.4 以前でテナントの作成・変更・削除が可能、コミット 2a199a1 で修正 > **TL;DR:** madong-admin-saas 5.1.4 以前で、プラットフォーム管理 API（/platformapi）の認証ミドルウェアが適用されず、認証なしのリモートの第三者がテナントの作成・変更・無効化・削除やプラン紐付けを行えるおそれ（CVE-2026-120446、CWE-306）。CVSS v3.1 9.4・v4.0 8.8、KEV なし、EPSS は未算定。コミット 2a199a1 で修正。 **要点** - 設定のミドルウェアのキー（platformapi）が実際のアプリ名（platform）と一致せず、プラットフォーム管理 API に認証が掛からない（CVE-2026-120446） - 認証不要（PR:N）で、テナントの一覧・作成・変更・無効化・削除、プラン紐付けが可能。マルチテナントモードでは管理者作成や DB 接続設定の読み取りにも至り得るとの報告がある - CVSS v3.1 9.4（Primary）・v4.0 8.8（Secondary）、いずれも VulnCheck 付与。NVD は Received。KEV 掲載なし、EPSS は未算定 - 5.1.4 以前が対象。修正はコミット 2a199a1。公式の回避策は未確認で、当面は /platformapi の外部公開を制限する - 悪用の有無、利用環境の数、修正を含むリリース番号は未確認 VulnCheck は 2026-11-02 に、PHP 製のマルチテナント SaaS 管理基盤「madong-admin-saas」の脆弱性 CVE-2026-120446 を公開し、NVD も同日に登録しました。プラットフォーム管理側のテナント管理 API で、認証のミドルウェアが正しいアプリケーションに結び付いておらず、認証なしのリモートの第三者がテナントの一覧取得・作成・変更・無効化・削除、サブスクリプションプランの紐付けを行えるおそれがあります。5.1.4 までの版が対象で、修正はコミット 2a199a1 です。 ## 何が起きるか - **種類（CWE-306）**: 重要な機能に対する認証の欠落です。 - **原因**: 設定ファイルで認証などのミドルウェアを結び付けるキーが `platformapi`（ルートの接頭辞）になっており、実際のアプリケーション名 `platform` と一致しません。その結果、プラットフォーム側のコントローラに認証ミドルウェアが適用されませんでした。 - **到達方法**: `/platformapi/tenant/account`、`bind-plan`、`sync-data` といったエンドポイントに、認証なしでネットワーク越しにリクエストを送れます。 - **影響**: テナントの一覧・作成・変更・無効化・削除と、プランの紐付け（NVD の記述）。公開されている報告（修正コミットが閉じた GitHub の issue）では、マルチテナントモード（`tenant.enable=true`）で、プラットフォーム管理者の作成やテナントの DB 接続設定の読み取りにも至り得るとされています。 - **評価**: CVSS v3.1 は 9.4（CRITICAL。AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H）、CVSS v4.0 は 8.8（HIGH）です。どちらも VulnCheck が付けた値で、NVD 自身の分析は未実施（Received）です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 影響範囲と修正 | 項目 | 内容 | |---|---| | 影響を受ける版 | madong-admin-saas 5.1.4 までのすべての版 | | 修正 | コミット 2a199a1（2026-11-02 に公開）。プラットフォーム側の認証ミドルウェアが管理者の種別を無条件に検証するようになり、設定のキーも `platform` に直った | | 回避策 | 公式の回避策の記載は確認できていません。修正を取り込むまでは、`/platformapi` への外部からのアクセスをリバースプロキシやファイアウォールで制限する対応が考えられます | | リリース番号 | 修正を含む版番号は確認できていません（GitHub のリリース一覧は空） | ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-120446 | | CVSS v3.1 | 9.4（CRITICAL。AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H、種別 Primary、提供元は VulnCheck） | | CVSS v4.0 | 8.8（HIGH。種別 Secondary） | | CWE | CWE-306 | | NVD の状態 | Received（NVD 自身の分析は未実施） | | NVD 公開日 | 2026-11-02 | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし（CISA のカタログに該当なし） | | 出典 | NVD、VulnCheck のアドバイザリ、FIRST（EPSS）、CISA（KEV） | ## severity を critical とした提案の理由 認証が不要（PR:N）で、ネットワークから低い複雑さで到達でき、CVSS v3.1 が 9.4 です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い、critical を提案します。 ## 対応として考えられること 1. madong-admin-saas を使っているかを確認し、使っている場合は版を調べます（5.1.4 以前が対象）。 2. コミット 2a199a1 を含むコードへ更新します。 3. 更新までの間は、`/platformapi` を外部に公開しないようにし、アクセスログでテナント管理系のエンドポイントへの想定外のリクエストがないかを見ます。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 利用している環境の数は確認できていません。 - 修正を含む正式なリリース番号は確認できていません。 - マルチテナントモード以外の設定での到達性は、公開された情報だけでは確認できていません。 - NVD の分析は未実施です。 ## 出典 - [NVD CVE-2026-120446](https://nvd.nist.gov/vuln/detail/CVE-2026-120446) — NIST NVD - [VulnCheck アドバイザリ（madong-admin-saas 5.1.4 以前）](https://www.vulncheck.com/advisories/madong-admin-saas-through-5.1.4-missing-authentication-via-platform-tenant-management-api) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120446) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/madong-admin-saas-platform-tenant-api-missing-auth-cve-2026-120446