学校管理ソフト School-Management-System の parent_Login.php に SQL インジェクション（CVE-2026-121524）: CVSS v3.1 7.3、認証不要、修正版の情報なし

学校管理ソフト School-Management-System（GitHub 公開のプロジェクト）に、保護者ログイン用の parent_Login.php（公開検索機能）の email 引数から SQL インジェクションができる不備（CVE-2026-121524）が、2026-11-03 に NVD へ登録されました。登録元は VulDB で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。

何が起きるか

• 対象は parent_Login.php です。email という引数の値が SQL 文にそのまま組み込まれ、細工した値でデータベースへの問い合わせを書き換えられます（CWE-89、CWE-74）。
• NVD の説明では、攻撃はネットワーク越しに行えます。CVSS のベクターでも認証は不要（PR:N）とされています。ログイン画面の入力欄なので、事前のログインなしで届く可能性がありますが、実際に抜き出せる範囲は確認できていません。
• 攻撃コードは公開されています（VulDB の記載）。
• 開発元には早い段階で連絡されましたが、反応はなかったと VulDB は書いています。

数値と severity

• CVSS v3.1 は 7.3（HIGH）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L です。CVSS v4.0 は 5.5（MEDIUM）です。
• 機密性・完全性・可用性への影響がそれぞれ「低」で、CVSS も 9 未満のため critical にはせず、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• School-Management-System。NVD にはコミットの識別子 d946d649c7c95e101fc5679ecd91999533bb10d7 までが影響を受けるとだけ載っており、版番号はありません。
• このプロジェクトは継続的に更新する方式（ローリングリリース）のため、修正済みの版は公表されていません。

対策

• 修正版や公式の回避策は、確認できませんでした。開発元の反応もないとされています。
• 使っている場合は、次のような対応が考えられます（公式の指示ではありません）。
  • 外部から到達できる場所に置かない、または VPN や IP 制限で入れる人を絞る。
  • parent_Login.php へのアクセスを制限する、または WAF で SQL 構文を含む email を遮断する。
  • 自分でコードを直す場合は、プレースホルダー（プリペアドステートメント）を使い、email の形式を検証する。
  • 学習用・検証用のソフトとして置いているだけなら、本物の児童・保護者の個人情報と同じ環境で動かさない。

未確認の点

• 抜き出せるデータの範囲と、ログイン回避につながるかどうか。
• 修正の有無、影響を受ける期間のコミット範囲。
• 実際の悪用の有無。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121524
• VulDB: CVE-2026-121524 / VulDB の登録情報（vuln 430289）