--- title: "学校管理ソフト School-Management-System の parent_Login.php に SQL インジェクション（CVE-2026-121524）: CVSS v3.1 7.3、認証不要、修正版の情報なし" url: https://n-t-p.io/worldsecurity/articles/school-management-system-cve-2026-121524-parent-login-sql-injection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121524 --- # 学校管理ソフト School-Management-System の parent_Login.php に SQL インジェクション（CVE-2026-121524）: CVSS v3.1 7.3、認証不要、修正版の情報なし > **TL;DR:** 学校管理ソフト School-Management-System の parent_Login.php で email 引数から SQL インジェクションができる（CVE-2026-121524、CWE-89、CVSS v3.1 7.3）。認証不要とされ、攻撃コードは公開。修正版の情報はなく、開発元の反応もない。 **要点** - parent_Login.php の email 引数が SQL 文にそのまま使われ、ネットワーク越しにデータベースへの問い合わせを書き換えられる（CVE-2026-121524）。 - CVSS v3.1 は 7.3。認証不要とされるが影響は低・低・低のため severity は high。抜き出せる範囲は未確認。 - 攻撃コードは公開済み。開発元には連絡されたが反応はなく、修正版・回避策の情報はない。 - 使っている場合は外部公開をやめ、アクセス制限や WAF、プレースホルダー化を検討する。悪用の有無は未確認。 学校管理ソフト School-Management-System（GitHub 公開のプロジェクト）に、保護者ログイン用の `parent_Login.php`（公開検索機能）の `email` 引数から SQL インジェクションができる不備（CVE-2026-121524）が、2026-11-03 に NVD へ登録されました。登録元は VulDB で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。 ## 何が起きるか - 対象は `parent_Login.php` です。`email` という引数の値が SQL 文にそのまま組み込まれ、細工した値でデータベースへの問い合わせを書き換えられます（CWE-89、CWE-74）。 - NVD の説明では、攻撃はネットワーク越しに行えます。CVSS のベクターでも認証は不要（PR:N）とされています。ログイン画面の入力欄なので、事前のログインなしで届く可能性がありますが、実際に抜き出せる範囲は確認できていません。 - 攻撃コードは公開されています（VulDB の記載）。 - 開発元には早い段階で連絡されましたが、反応はなかったと VulDB は書いています。 ## 数値と severity - CVSS v3.1 は 7.3（HIGH）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L です。CVSS v4.0 は 5.5（MEDIUM）です。 - 機密性・完全性・可用性への影響がそれぞれ「低」で、CVSS も 9 未満のため critical にはせず、severity は high とします。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品 - School-Management-System。NVD にはコミットの識別子 d946d649c7c95e101fc5679ecd91999533bb10d7 までが影響を受けるとだけ載っており、版番号はありません。 - このプロジェクトは継続的に更新する方式（ローリングリリース）のため、修正済みの版は公表されていません。 ## 対策 - 修正版や公式の回避策は、確認できませんでした。開発元の反応もないとされています。 - 使っている場合は、次のような対応が考えられます（公式の指示ではありません）。 - 外部から到達できる場所に置かない、または VPN や IP 制限で入れる人を絞る。 - `parent_Login.php` へのアクセスを制限する、または WAF で SQL 構文を含む `email` を遮断する。 - 自分でコードを直す場合は、プレースホルダー（プリペアドステートメント）を使い、`email` の形式を検証する。 - 学習用・検証用のソフトとして置いているだけなら、本物の児童・保護者の個人情報と同じ環境で動かさない。 ## 未確認の点 - 抜き出せるデータの範囲と、ログイン回避につながるかどうか。 - 修正の有無、影響を受ける期間のコミット範囲。 - 実際の悪用の有無。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-121524 - VulDB: CVE-2026-121524 / VulDB の登録情報（vuln 430289） ## 出典 - [NVD CVE-2026-121524](https://nvd.nist.gov/vuln/detail/CVE-2026-121524) — NIST NVD - [VulDB CVE-2026-121524](https://vuldb.com/cve/CVE-2026-121524) — VulDB - [VulDB vuln 430289](https://vuldb.com/vuln/430289) — VulDB --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/school-management-system-cve-2026-121524-parent-login-sql-injection