npm パッケージ Network-AI 5.15.5 未満でパストラバーサル 3 件と A2AServer の認証欠落（CVE-2026-120311〜120314、CVSS v3.1 7.3〜8.8）: 修正版は 5.15.5

NVD は 2026-11-02 に、AI エージェント連携用の npm パッケージ「Network-AI」の脆弱性 4 件（CVE-2026-120311〜120314）を登録しました。登録元は VulnCheck です。パストラバーサル 3 件（CWE-22／CWE-23）と、A2AServer の認証欠落 1 件（CWE-306）で、いずれも 5.15.5 より前の版が対象、修正版は 5.15.5 とされています。CVSS v3.1 は 7.3〜8.8 です。認証なしで届くのは 2 件（120313 のパス検査の回避、120314 の A2AServer）で、秘密値（シークレット）を設定せずに A2AServer を使っていると、タスクの実行・結果の読み取り・取り消しが認証なしでできる可能性があります。

何が起きるか

• 対象は npm の network-ai（開発元の登録名は Jovancoding）です。
• CVE-2026-120311（CVSS 8.8）: 5.13.4 以上 5.15.5 未満。FileJobStore（ジョブ保管）でジョブ ID に ../ のような並びを入れられ、任意の .json ファイルの読み取りと削除ができる可能性があります。資格情報や許可トークンの漏えい、設定ファイルの削除による認可の弱体化につながる恐れがあります。必要な権限は「低」です。
• CVE-2026-120312（CVSS 8.8）: 5.13.4 以上 5.15.5 未満。AgentVCR（実行記録の再生機能）のカセット名で同様の問題があり、任意の .json の読み取りと書き込みができる可能性があります。信頼レベルなどの方針ファイルが上書きされる恐れがあります。必要な権限は「低」です。
• CVE-2026-120313（CVSS 7.5）: 5.15.5 未満。InputSanitizer.sanitizePath() が、基準ディレクトリと名前の先頭が同じ兄弟ディレクトリを正しく区別せず、作業領域の外のファイルの読み取り・一覧・書き込みが可能になる問題です。NVD の CVSS では認証不要・機密性のみ「高」です。
• CVE-2026-120314（CVSS 7.3）: 5.14.0 以上 5.15.5 未満。A2AServer でシークレットが未設定のとき、tasks/send・tasks/get・tasks/cancel の JSON-RPC 要求を Bearer トークンなしで受け付け、タスクの実行・結果の読み取り・取り消しができる可能性があります。認証不要です。
• 本記事では攻撃の詳細は扱いません。

修正の状況

• 4 件とも、登録元の影響版の範囲は「5.15.5 より前」で、5.15.5 は影響なしとされています。
• npm の registry では 5.15.5 は 2026-10-17 に公開されており、最新版は 5.17.1 です（2026-11-02 取得）。脆弱性の登録はそのあとの 11/2 です。
• 開発元の勧告（GitHub Security Advisory）は NVD の参照先に 4 件分あります。本文はこの記事の作成時に確認しておらず、修正の内容は NVD の影響版範囲から読み取っています（推定）。

数値と出典（2026-11-02 時点）

CVE	影響版	種類	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-120311	5.13.4 以上 5.15.5 未満	FileJobStore のパストラバーサル（読み取り・削除）	低	8.8	8.7	CWE-23	公開直後のため未算出
CVE-2026-120312	5.13.4 以上 5.15.5 未満	AgentVCR のパストラバーサル（読み取り・書き込み）	低	8.8	8.7	CWE-23	公開直後のため未算出
CVE-2026-120313	5.15.5 未満	sanitizePath() の検査回避	不要	7.5	8.7	CWE-22	公開直後のため未算出
CVE-2026-120314	5.14.0 以上 5.15.5 未満	A2AServer の認証欠落	不要	7.3	6.9	CWE-306	公開直後のため未算出

• NVD の状態は 4 件とも Deferred で、NVD 自身の評価はまだありません。CVSS は登録元（VulnCheck）の値です。ベクターは 120311・120312 が AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、120313 が AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N、120314 が AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L です。
• EPSS（FIRST）には 2026-11-02 時点で 4 件とも登録がありません（公開直後のため未算出）。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。

severity を high とした理由

4 件のうち 2 件は認証なしで届き、パストラバーサルは資格情報や認可設定の読み取り・改ざんにつながる可能性があり、CVSS も最大 8.8 です。一方で、実際の悪用は確認しておらず、KEV にも載っておらず、修正版 5.15.5 は 10/17 から公開されています。また、影響は Network-AI を組み込んだ利用者に限られ、120314 はシークレット未設定という条件付きです。公開時は high を提案します（medium とする案もあります）。

対応として考えられること

1. 自組織のプロジェクトで network-ai を使っているかを、package.json とロックファイルで確認します（npm ls network-ai）。
2. 5.15.5 以降（最新は 5.17.1）に更新し、更新後に版数を再確認します。
3. A2AServer を使う場合は、版にかかわらずシークレットを必ず設定し、外部のネットワークから直接届かないようにします（推定）。
4. FileJobStore のジョブ ID、AgentVCR のカセット名、sanitizePath() に渡す値に、外部の入力をそのまま使っていないかを確認します（推定）。
5. 更新前の期間に、資格情報・許可トークン・方針ファイル（.json）が参照・変更・削除されていないかを確認し、疑わしい場合は資格情報を差し替えます（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 開発元の勧告の本文と、5.15.5 の変更内容は確認していません（NVD の影響版範囲から 5.15.5 を修正版としています。推定）。
• 有効な利用数や、実際に外部に公開された A2AServer の数は確認していません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は登録元の値です。