Presenton のローカル API に認証がなく外部から操作できる（CVE-2026-120191）: 0.9.12-beta で修正、CVSS v4.0 5.5（VulDB）

NVD は 2026-11-01（01:17 UTC）に、プレゼン資料の生成ツール Presenton の CVE-2026-120191 を登録しました。説明によると、0.9.11-beta までの API コンポーネントで**認証の欠落（CWE-306・CWE-287）**があり、リモートから攻撃を始められ、エクスプロイトが公開されているとされます。0.9.12-beta への更新で解消できると案内されています。登録元（CNA）は VulDB で、NVD の状態は「Received」です。

何が起きるか

• 修正の元になった上流の課題票 #972 の題名は「ローカル API への認証なしの全面アクセス」です。課題票の本文は添付の報告書のみで、内容は確認できていません。
• 修正の PR #980（2026-10-12 にマージ）の説明によると、デスクトップ版は利用者のアカウント認証を省略する一方、アプリ本体を別に認証していなかったため、無関係な呼び出し元がローカルの設定、非公開ファイル、副作用を伴う API に届く状態でした。
• 修正では、起動ごとのデスクトップ用資格情報と Host/Origin の検証を Next.js 側と FastAPI 側の両方に追加し、設定の読み書きに認証を求め、配信するアセットのディレクトリを 7 つに限定し、設定ファイル・データベース・ログがファイル読み取り経路から取れないようにしています。
• したがって実際に影響を受けるのは主にデスクトップ版と読めますが、サーバー版（Docker など）が同じ欠陥の対象かどうかは公式情報から確認できていません（未確認）。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-120191（CWE-306 重要な機能に対する認証の欠如、CWE-287 不適切な認証）
影響版	0.9.11-beta まで（NVD の説明）
修正版	0.9.12-beta（2026-10-26 公開）。修正コミットは 44c8a61（PR #980）
CVSS v4.0	5.5（Medium、AV:N/AC:L/AT:N/PR:N/UI:N、機密性・完全性・可用性が各 Low、悪用の成熟度は PoC あり）。VulDB（CNA）の値で、NVD 自身の評価はなし
状態	NVD の状態は「Received」
EPSS	公開直後のため未算出（FIRST の API で該当なし、2026-11-01 確認）
KEV	掲載なし（CISA の JSON で確認）

severity を medium とした理由

CVSS v4.0 は 5.5 で、各影響は Low と評価されています。認証不要でネットワークから届く点と PoC の公開は重い要素ですが、主な対象はデスクトップ版のローカル API とみられ、KEV 掲載や EPSS の算出はありません。現時点の情報では medium としました。

対応として考えられること

1. Presenton の版を確認し、0.9.12-beta 以降に更新します。
2. サーバー版を社内などに公開している場合は、ネットワークの到達範囲を絞り、前段で認証をかけます（本記事の推定。公式な回避策は未確認）。
3. 更新前に設定へ保存していた API キー（画像生成・LLM など）が他者に読まれた可能性がある環境では、キーの再発行を検討します。
4. 同一端末や同一ネットワークに信頼できない利用者がいる環境では、更新まで Presenton の起動を控えます（推定）。

未確認の点

• サーバー版（Docker など）が影響を受けるか、デスクトップ版のみかは確認できていません。
• 課題票 #972 の報告書、VulDB の詳細ページ本文は取得できていません。
• 実際の悪用は確認していません。PoC の公開は NVD の説明に基づきます。
• CVSS は VulDB（CNA）の値のみで、NVD 自身の評価は確認できていません。
• EPSS は公開直後のため未算出です。
• 日付は NVD の登録（2026-11-01 01:17 UTC）と GitHub の公開情報に基づきます。