RosarioSIS 12.9 より前で、保護者を含むログイン済み利用者が SQL インジェクションで管理者のパスワードハッシュや生徒情報を抜けるおそれ（CVE-2026-121731）: CVSS v3.1 8.8、悪用の有無は未確認

RosarioSIS（オープンソースの学校情報管理システム）の 12.9 より前について、出欠レポートの StudentSummary.php で SQL インジェクションが起こる問題として、CVE-2026-121731 が 2026-11-03 に NVD に登録されました。登録元は VulnCheck です。

何が起きるか

• NVD の記載によると、StudentSummary.php の period_id パラメーターが引用符で囲まれないまま SQL 文の IN() 句に入ります。そのため、単一引用符を含まない文字列でも SQL を差し込めます。
• 生徒以外のログイン済み利用者（保護者を含む）が悪用でき、時間差（time-based）の問い合わせで管理者のパスワードハッシュや生徒の記録を抜き出すおそれがあります。複文（stacked statements）でデータを書き換えられる可能性も記載されています。
• 弱点の分類は CWE-89（SQL インジェクション）です。対象は 12.9 より前のすべての版です。

数値と severity

• CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.7 です（いずれも評価元は VulnCheck）。
• ログインが必要（PR:L）で、認証不要ではありません。そのため critical にはせず、severity は high とします。ただし保護者アカウントなど、学校側が多数の利用者に発行するアカウントで足りる点は注意が必要です。
• NVD の状態は「Deferred」で、NVD 自身の評価はありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• RosarioSIS を使っている場合は、12.9 以降へ更新する。開発元のリリースに 12.9 の記載があります（本稿では中身を確認していません）。
• 更新できないうちは、保護者・教職員アカウントの発行を必要な範囲に絞り、出欠レポート機能へのアクセスを制限する。
• 管理者のパスワードを変更し、データベースやウェブサーバーのログに、period_id へ不審な値が入ったアクセスがないか確認する。

未確認の点

• 12.9 で実際にどう直されたか、修正が完全か。
• 悪用の有無、攻撃コードの流通。
• 抜き出せる情報の範囲（利用者の権限や設定による違い）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121731
• VulnCheck の勧告（NVD の参照先。未開封）
• RosarioSIS 12.9 のリリースと修正コミット（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）