---
title: "Oray 蒲公英（Pgyer）X5 Pro ルーターで認可不備と設定復元のパストラバーサル 2 件（CVE-2026-120224・120225、CVSS v3.1 最大 9.9）: 攻撃手法は公開済み、修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/oray-pgyer-x5-pro-json-batch-api-authz-config-restore-path-traversal-2-cves-public-poc-no-fix-cve-2026-120224
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-120224, CVE-2026-120225
---

# Oray 蒲公英（Pgyer）X5 Pro ルーターで認可不備と設定復元のパストラバーサル 2 件（CVE-2026-120224・120225、CVSS v3.1 最大 9.9）: 攻撃手法は公開済み、修正版は未確認

> **TL;DR:** Oray（蒲公英）X5 Pro ルーター（7.6.1 以前）に API 認可不備（CVE-2026-120224、CVSS v3.1 9.9）と設定復元のパストラバーサル（CVE-2026-120225、9.1）。いずれもログインが必要、攻撃手法は公開済み、修正版は確認できず。KEV なし、EPSS は公開直後のため未算出、悪用は未確認。

**要点**
- Oray（蒲公英）X5 Pro（7.6.1 以前）の API 認可不備（CWE-266／285）と、設定復元のパストラバーサル（CWE-22／23）の 2 件。必要な権限は低（120224）と高（120225）で、認証なしでは攻撃できない
- CVSS v3.1 は 9.9 と 9.1、v4.0 は 8.6 と 8.5（いずれも VulDB＝CNA の値）。NVD は 2 件とも Received で独自評価なし
- 攻撃手法は公開済みと説明にあるが、実際の悪用は未確認。KEV なし、EPSS は公開直後のため未算出
- ベンダーは事前連絡に返答せず、修正版・回避策は確認できず（2026-11-02 時点）。管理画面を外部から到達不能にするなどは推定
- 120224 の工場出荷時リセット、120225 のルート権限でのコード実行は、参照先の見出しからの読み取りで本文は未確認（推定）

NVD は 2026-11-01 に、Oray（蒲公英）製ルーター X5 Pro（版 7.6.1 以前）に関する脆弱性 2 件を登録しました。1 件目の CVE-2026-120224 は API の認可不備、2 件目の CVE-2026-120225 は設定ファイルの復元機能でのパストラバーサルです。登録元（CNA）はどちらも VulDB で、説明には「リモートから攻撃できる」「攻撃手法（エクスプロイト）が公開されており、使われるおそれがある」「ベンダーに事前連絡したが返答がなかった」と書かれています。CVSS v3.1 は 9.9 と 9.1 ですが、どちらもログインが必要とされています。

## 何が起きるか

- CVE-2026-120224: API 認可（API Authorization）の run_apis_by_json／run_async_task 関数で、権限の確認が不適切です（CWE-266・CWE-285）。参照先の見出しからは、権限の制限されたアカウントが JSON の一括実行 API を通じて、本来は許されない操作（工場出荷時へのリセット）を呼べると読めますが、本文は確認していません（推定）。必要な権限は「低」とされています。
- CVE-2026-120225: 設定の復元（config_restore_ex）で、引数 filename の相対パスが検査されず、パストラバーサルが起きます（CWE-22・CWE-23）。参照先の見出しからは、ルート権限でのコード実行につながると読めますが、これも未確認です（推定）。必要な権限は「高」（管理者相当）とされています。
- 2 件とも影響を受けるのは「X5 Pro 7.6.1 まで」と NVD の説明にあります。それ以降の版や、同じ OS を使う他機種が影響を受けるかは未確認です。
- 技術情報は、外部の文書サービスと VulDB の投稿ページに公開されていると、NVD の参照先に示されています。

## 修正の状況

- 修正版は確認できていません。NVD の説明は「ベンダーは事前連絡に返答しなかった」としており、ベンダーの勧告や回避策への参照もありません（2026-11-02 時点）。
- 影響版は NVD の記述のとおり 7.6.1 以前です。それ以外の版は未確認です。

## 数値と出典（2026-11-02 時点）

| CVE | 箇所 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS |
|---|---|---|---|---|---|---|
| CVE-2026-120224 | API 認可の run_apis_by_json／run_async_task | 低 | 9.9 | 8.6 | CWE-266／285 | 公開直後のため未算出 |
| CVE-2026-120225 | 設定復元 config_restore_ex の filename | 高 | 9.1 | 8.5 | CWE-22／23 | 公開直後のため未算出 |

- NVD の状態は 2 件とも Received で、NVD 自身の評価はまだありません。CVSS はいずれも VulDB（CNA）の値です。v3.1 のベクターは、120224 が AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（9.9）、120225 が PR:H の同型（9.1）です。
- EPSS（FIRST）は 2026-11-02 時点でどちらも未登録のため、「公開直後のため未算出」としています。
- KEV（CISA の悪用確認済みカタログ）には、2 件とも掲載がありません（2026-11-02 取得）。

## severity を high とした理由

CVSS v3.1 は 9.9 と 9.1 と高く、攻撃手法が公開済みで修正版も確認できません。一方で、2 件とも事前にログインが必要で（低権限と管理者権限）、認証なしでは攻撃できません。実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も未算出です。このため critical にはせず、high としています。

## 対応として考えられること

1. 自社や拠点で Oray（蒲公英）X5 Pro を使っているか、ファームウェアの版が 7.6.1 以前かを確認します。
2. 管理画面と API を、インターネット側からも、不特定多数が使うネットワークからも到達できないようにします（推定）。
3. 管理アカウントを共有しない、推測されにくいパスワードにする、不要な低権限アカウントを作らないようにします（推定）。
4. 設定のバックアップを取り、設定の復元機能を信頼できないファイルで使わないようにします（推定）。
5. ベンダーの公式サイトで新しいファームウェアが出ていないか定期的に確認します。出ていない間は、機器の入れ替えや、境界のファイアウォールでの遮断も検討します（推定）。
6. 機器の設定が勝手に変わっていないか、見慣れない外向きの通信がないかを、ログや設定のバックアップで確認します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 修正版・回避策の有無、ベンダーの回答は確認できていません。
- 7.6.1 より新しい版や、他機種への影響は未確認です。
- CVE-2026-120224 の具体的な影響（工場出荷時リセット）と、CVE-2026-120225 のルート権限でのコード実行は、参照先の見出しからの読み取りで、本文は確認していません。
- NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。


## 出典
- [NVD CVE-2026-120224](https://nvd.nist.gov/vuln/detail/CVE-2026-120224) — NIST NVD
- [NVD CVE-2026-120225](https://nvd.nist.gov/vuln/detail/CVE-2026-120225) — NIST NVD
- [VulDB 登録情報（CVE-2026-120224）](https://vuldb.com/cve/CVE-2026-120224) — VulDB
- [VulDB 登録情報（CVE-2026-120225）](https://vuldb.com/cve/CVE-2026-120225) — VulDB
- [FIRST EPSS（2 件）](https://api.first.org/data/v1/epss?cve=CVE-2026-120224,CVE-2026-120225) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/oray-pgyer-x5-pro-json-batch-api-authz-config-restore-path-traversal-2-cves-public-poc-no-fix-cve-2026-120224