Oray 蒲公英（Pgyer）X5 Pro ルーターで認可不備と設定復元のパストラバーサル 2 件（CVE-2026-120224・120225、CVSS v3.1 最大 9.9）: 攻撃手法は公開済み、修正版は未確認

NVD は 2026-11-01 に、Oray（蒲公英）製ルーター X5 Pro（版 7.6.1 以前）に関する脆弱性 2 件を登録しました。1 件目の CVE-2026-120224 は API の認可不備、2 件目の CVE-2026-120225 は設定ファイルの復元機能でのパストラバーサルです。登録元（CNA）はどちらも VulDB で、説明には「リモートから攻撃できる」「攻撃手法（エクスプロイト）が公開されており、使われるおそれがある」「ベンダーに事前連絡したが返答がなかった」と書かれています。CVSS v3.1 は 9.9 と 9.1 ですが、どちらもログインが必要とされています。

何が起きるか

• CVE-2026-120224: API 認可（API Authorization）の run_apis_by_json／run_async_task 関数で、権限の確認が不適切です（CWE-266・CWE-285）。参照先の見出しからは、権限の制限されたアカウントが JSON の一括実行 API を通じて、本来は許されない操作（工場出荷時へのリセット）を呼べると読めますが、本文は確認していません（推定）。必要な権限は「低」とされています。
• CVE-2026-120225: 設定の復元（config_restore_ex）で、引数 filename の相対パスが検査されず、パストラバーサルが起きます（CWE-22・CWE-23）。参照先の見出しからは、ルート権限でのコード実行につながると読めますが、これも未確認です（推定）。必要な権限は「高」（管理者相当）とされています。
• 2 件とも影響を受けるのは「X5 Pro 7.6.1 まで」と NVD の説明にあります。それ以降の版や、同じ OS を使う他機種が影響を受けるかは未確認です。
• 技術情報は、外部の文書サービスと VulDB の投稿ページに公開されていると、NVD の参照先に示されています。

修正の状況

• 修正版は確認できていません。NVD の説明は「ベンダーは事前連絡に返答しなかった」としており、ベンダーの勧告や回避策への参照もありません（2026-11-02 時点）。
• 影響版は NVD の記述のとおり 7.6.1 以前です。それ以外の版は未確認です。

数値と出典（2026-11-02 時点）

CVE	箇所	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-120224	API 認可の run_apis_by_json／run_async_task	低	9.9	8.6	CWE-266／285	公開直後のため未算出
CVE-2026-120225	設定復元 config_restore_ex の filename	高	9.1	8.5	CWE-22／23	公開直後のため未算出

• NVD の状態は 2 件とも Received で、NVD 自身の評価はまだありません。CVSS はいずれも VulDB（CNA）の値です。v3.1 のベクターは、120224 が AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（9.9）、120225 が PR:H の同型（9.1）です。
• EPSS（FIRST）は 2026-11-02 時点でどちらも未登録のため、「公開直後のため未算出」としています。
• KEV（CISA の悪用確認済みカタログ）には、2 件とも掲載がありません（2026-11-02 取得）。

severity を high とした理由

CVSS v3.1 は 9.9 と 9.1 と高く、攻撃手法が公開済みで修正版も確認できません。一方で、2 件とも事前にログインが必要で（低権限と管理者権限）、認証なしでは攻撃できません。実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も未算出です。このため critical にはせず、high としています。

対応として考えられること

1. 自社や拠点で Oray（蒲公英）X5 Pro を使っているか、ファームウェアの版が 7.6.1 以前かを確認します。
2. 管理画面と API を、インターネット側からも、不特定多数が使うネットワークからも到達できないようにします（推定）。
3. 管理アカウントを共有しない、推測されにくいパスワードにする、不要な低権限アカウントを作らないようにします（推定）。
4. 設定のバックアップを取り、設定の復元機能を信頼できないファイルで使わないようにします（推定）。
5. ベンダーの公式サイトで新しいファームウェアが出ていないか定期的に確認します。出ていない間は、機器の入れ替えや、境界のファイアウォールでの遮断も検討します（推定）。
6. 機器の設定が勝手に変わっていないか、見慣れない外向きの通信がないかを、ログや設定のバックアップで確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 修正版・回避策の有無、ベンダーの回答は確認できていません。
• 7.6.1 より新しい版や、他機種への影響は未確認です。
• CVE-2026-120224 の具体的な影響（工場出荷時リセット）と、CVE-2026-120225 のルート権限でのコード実行は、参照先の見出しからの読み取りで、本文は確認していません。
• NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。