--- title: "Presenton のローカル API に認証がなく外部から操作できる（CVE-2026-120191）: 0.9.12-beta で修正、CVSS v4.0 5.5（VulDB）" url: https://n-t-p.io/worldsecurity/articles/presenton-desktop-local-api-missing-authentication-cwe-306-cve-2026-120191-before-0-9-12-beta lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月1日 updated: 2026年11月1日 severity: 中 cve: CVE-2026-120191 --- # Presenton のローカル API に認証がなく外部から操作できる（CVE-2026-120191）: 0.9.12-beta で修正、CVSS v4.0 5.5（VulDB） > **TL;DR:** プレゼン資料の生成ツール Presenton 0.9.11-beta までで、API に認証がなく、リモートから操作できる（CVE-2026-120191、CWE-306）。PoC は公開済みとされる。上流の修正 PR #980 はデスクトップ版のローカル API の保護が中心で、0.9.12-beta（2026-10-26）で修正。CVSS v4.0 は 5.5（VulDB が付与、NVD 自身の評価はなし）。EPSS は公開直後のため未算出、KEV なし。 **要点** - Presenton 0.9.11-beta までの API に認証の欠落（CWE-306・CWE-287）があり、リモートから操作を始められる。NVD の説明では PoC が公開済み - 上流の修正 PR #980 は、デスクトップ版がアプリ本体を認証せず、設定・非公開ファイル・副作用のある API に無関係な呼び出し元が届く状態を直すもの。サーバー版が対象かは未確認 - 0.9.12-beta（2026-10-26）に更新する。保存済みの API キーが読まれた可能性がある環境ではキーの再発行を検討する - CVSS v4.0 は 5.5（VulDB の値）。NVD の状態は Received。EPSS は公開直後のため未算出、KEV なし - サーバー版への影響、実際の悪用、課題票の報告書の内容は未確認 NVD は 2026-11-01（01:17 UTC）に、プレゼン資料の生成ツール Presenton の CVE-2026-120191 を登録しました。説明によると、0.9.11-beta までの API コンポーネントで**認証の欠落（CWE-306・CWE-287）**があり、リモートから攻撃を始められ、**エクスプロイトが公開されている**とされます。0.9.12-beta への更新で解消できると案内されています。登録元（CNA）は VulDB で、NVD の状態は「Received」です。 ## 何が起きるか - 修正の元になった上流の課題票 #972 の題名は「ローカル API への認証なしの全面アクセス」です。課題票の本文は添付の報告書のみで、内容は確認できていません。 - 修正の PR #980（2026-10-12 にマージ）の説明によると、**デスクトップ版は利用者のアカウント認証を省略する一方、アプリ本体を別に認証していなかった**ため、無関係な呼び出し元がローカルの設定、非公開ファイル、副作用を伴う API に届く状態でした。 - 修正では、起動ごとのデスクトップ用資格情報と Host/Origin の検証を Next.js 側と FastAPI 側の両方に追加し、設定の読み書きに認証を求め、配信するアセットのディレクトリを 7 つに限定し、設定ファイル・データベース・ログがファイル読み取り経路から取れないようにしています。 - したがって実際に影響を受けるのは主にデスクトップ版と読めますが、サーバー版（Docker など）が同じ欠陥の対象かどうかは公式情報から確認できていません（未確認）。 ## 数値と出典（2026-11-01 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-120191（CWE-306 重要な機能に対する認証の欠如、CWE-287 不適切な認証） | | 影響版 | 0.9.11-beta まで（NVD の説明） | | 修正版 | 0.9.12-beta（2026-10-26 公開）。修正コミットは 44c8a61（PR #980） | | CVSS v4.0 | 5.5（Medium、AV:N/AC:L/AT:N/PR:N/UI:N、機密性・完全性・可用性が各 Low、悪用の成熟度は PoC あり）。VulDB（CNA）の値で、NVD 自身の評価はなし | | 状態 | NVD の状態は「Received」 | | EPSS | 公開直後のため未算出（FIRST の API で該当なし、2026-11-01 確認） | | KEV | 掲載なし（CISA の JSON で確認） | ## severity を medium とした理由 CVSS v4.0 は 5.5 で、各影響は Low と評価されています。認証不要でネットワークから届く点と PoC の公開は重い要素ですが、主な対象はデスクトップ版のローカル API とみられ、KEV 掲載や EPSS の算出はありません。現時点の情報では medium としました。 ## 対応として考えられること 1. Presenton の版を確認し、0.9.12-beta 以降に更新します。 2. サーバー版を社内などに公開している場合は、ネットワークの到達範囲を絞り、前段で認証をかけます（本記事の推定。公式な回避策は未確認）。 3. 更新前に設定へ保存していた API キー（画像生成・LLM など）が他者に読まれた可能性がある環境では、キーの再発行を検討します。 4. 同一端末や同一ネットワークに信頼できない利用者がいる環境では、更新まで Presenton の起動を控えます（推定）。 ## 未確認の点 - サーバー版（Docker など）が影響を受けるか、デスクトップ版のみかは確認できていません。 - 課題票 #972 の報告書、VulDB の詳細ページ本文は取得できていません。 - 実際の悪用は確認していません。PoC の公開は NVD の説明に基づきます。 - CVSS は VulDB（CNA）の値のみで、NVD 自身の評価は確認できていません。 - EPSS は公開直後のため未算出です。 - 日付は NVD の登録（2026-11-01 01:17 UTC）と GitHub の公開情報に基づきます。 ## 出典 - [NVD CVE-2026-120191](https://nvd.nist.gov/vuln/detail/CVE-2026-120191) — NIST NVD - [Presenton PR #980（Secure desktop local services）](https://github.com/presenton/presenton/pull/980) — GitHub - [Presenton 課題票 #972](https://github.com/presenton/presenton/issues/972) — GitHub - [Presenton v0.9.12-beta リリース](https://github.com/presenton/presenton/releases/tag/v0.9.12-beta) — GitHub - [FIRST EPSS CVE-2026-120191](https://api.first.org/data/v1/epss?cve=CVE-2026-120191) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/presenton-desktop-local-api-missing-authentication-cwe-306-cve-2026-120191-before-0-9-12-beta