目次（6）
CVE-2026-120207
NVD は 2026-10-31 に、EC プラットフォーム Thelia に同梱される CMS 用の Page モジュールの CVE-2026-120207 を登録しました。2.0.4 より前の版に CSRF（クロスサイトリクエストフォージェリ、CWE-352）があり、CVSS v3.1 は 7.1（HIGH）です。攻撃には、ログイン中の管理者が細工されたリンクを開く操作が必要です。2.0.4 で修正されています。
何が起きるか
- 影響を受けるのは、Thelia の Page モジュール（thelia/page-module）の 2.0.4 より前の版です。
- 管理画面のタグ・文書・画像の削除ルールに、CSRF トークンと権限の確認がありません。NVD の記述では、攻撃者が細工した GET リクエストへ、ログイン中の管理者を誘導すると、タグ・文書・画像が削除されます。
- 画像の削除は、ページに結び付いた画像だけでなく、共有のメディアライブラリ（TheliaLibrary）の画像を対象にします。商品やカテゴリの画像、そのファイルや派生画像（サイズ違い）まで消えるおそれがあります。ID が連番のため、1 つの誘導で多数を順に削除できると記述されています。
- CVSS のベクターでは、完全性への影響が「高」、可用性への影響が「低」、機密性への影響は「なし」です。情報が盗まれる種類の問題ではなく、データを消される・壊される種類の問題です。
- 実際の悪用は確認していません。具体的な攻撃手順は載せません。
修正の状況
- NVD の影響範囲の記述は、2.0.4 より前が影響あり、2.0.4 以降は影響なしです。
- GitHub の thelia-modules/Page で、2.0.4 のリリースは 2026-10-01 に公開されています。修正を含むコミット（2026-09-30）は、タグ・文書・画像・種別の削除を、トークン付きの POST だけで受け付けるように変え、メディアの削除をそのページの範囲に絞っています。
- 同じリポジトリの最新リリースは 2.2.2（2026-10-21）です。2.0.4 から 2.2.2 までの間の変更内容は確認していません。
- 回避策は確認できていません。
数値と出典（2026-11-02 時点）
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-120207 |
| NVD 公開日 | 2026-10-31 |
| 影響版 | Thelia Page モジュール 2.0.4 より前 |
| 修正版 | 2.0.4（2026-10-01 公開） |
| CWE | CWE-352（CSRF） |
| CVSS v3.1 | 7.1 HIGH（AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L）。VulnCheck（CNA）の値（NVD 上の種別は Primary） |
| CVSS v4.0 | 7.0 HIGH（VulnCheck の値、NVD 上の種別は Secondary） |
| NVD の状態 | Received（NVD 自身の評価は未実施） |
| EPSS | 0.00203（約 0.2%、パーセンタイル 0.10、FIRST の 2026-11-01 の値） |
| KEV | 掲載なし（CISA のカタログ版 2026.10.30 で CVE-2026-120207 の不在を確認） |
severity を high とした理由
CVSS v3.1 は 7.1 で、攻撃には管理者の操作が必要です。EPSS は約 0.2% と低く、KEV にも載っておらず、修正版は約 1 か月前から出ています。一方で、1 回の誘導で商品画像などが連続して消えるおそれがあり、元に戻せない（バックアップがなければ）点を重視しました。critical にするほどの要素（認証なしの遠隔実行、悪用の確認）はないため、high としました。
対応として考えられること
- 自社の Thelia で Page モジュールを使っているか、版がいくつかを確認します。
- 2.0.4 より前なら、2.0.4 以降へ更新します（最新リリースは 2.2.2）。
- 更新できない場合は、モジュールの一時的な無効化が考えられます（推定。Page モジュールで作った CMS ページは使えなくなります）。
- 管理者アカウントでは、管理画面にログインしたまま外部のリンクを開かないようにします（推定）。
- メディアライブラリのファイルとデータベースのバックアップが、直近のものとして取れているかを確認します（推定）。
未確認の点
- 実際の悪用は確認していません。
- 2.0.4 の修正の完全性と、2.0.4 から 2.2.2 までの間の変更内容は確認していません。
- GitHub のセキュリティアドバイザリ（GHSA）には CVE 番号が未割り当ての状態で、記述の細部は NVD の記述に基づいています。
- NVD 自身の評価は未実施（Received）です。CVSS は CNA（VulnCheck）の値です。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-120207（NIST NVD）
- CVE-2026-120207 CVE レコード（CVE Program）
- VulnCheck アドバイザリ Thelia Page モジュール 2.0.4 より前の CSRF（VulnCheck）
- GitHub セキュリティアドバイザリ GHSA-whqr-4v2h-6jhc（Thelia）（GitHub）
- thelia-modules/Page 修正コミット e7206a7（GitHub）
- thelia-modules/Page リリース 2.0.4（GitHub）
- FIRST EPSS CVE-2026-120207（FIRST）
- CISA KEV カタログ（CISA）
