XunRuiCMS 4.7.4 までに 3 件の脆弱性（CVE-2026-120347〜120349）: 認証不要の SQL インジェクションと、管理者権限からのコード注入 2 件。攻撃手法は公開済み、修正はコミット単位で 1 件のみ確認

NVD は 2026-11-02 に、中国のオープンソース CMS「XunRuiCMS（迅睿 CMS）」の脆弱性 3 件（CVE-2026-120347・120348・120349）を登録しました。対象は 4.7.4 までの版です。登録元（CNA）は VulDB で、3 件とも CVSS v3.1 は 7.3、v4.0 は 5.5、悪用成熟度は PoC（E:P）です。3 件とも、公開された報告書に再現手順があるとされています。本記事では攻撃の詳細は扱いません。

3 件の内容

CVE	場所	種類	説明・報告書から読み取れる条件
CVE-2026-120347	メンバーモジュールの View の処理（引数 catid）	SQL インジェクション（CWE-74）	報告書は、テンプレート API が受け取った全リクエスト引数をテンプレート変数に渡すため、認証なしでデータベースの内容（管理者アカウントのパスワードハッシュを含む）を読み出せると説明しています
CVE-2026-120348	メール通知テンプレートの組み立て処理（Notice の _get_tpl_content）	コード注入（CWE-74）	サイト名が、コンパイル前のテンプレートの原文に差し込まれます。サイト名の設定を書き換える段階では管理画面のセッションが要りますが、その後に実行を起こす処理は、既定の設定（SYS_CRON_AUTH=0）では認証なしで呼べるとされています
CVE-2026-120349	モバイルサイトのディレクトリ名の処理	コード注入（CWE-74）	ディレクトリ名が、生成される PHP の入口ファイルにエスケープなしで書き込まれます。設定の書き込みには管理画面のセッションが要りますが、生成されたファイルには認証なしでアクセスできるとされています

• 報告書の検証環境は XunRuiCMS 4.7.2・PHP 7.4 です。NVD の「4.7.4 まで」という範囲との差（4.7.3・4.7.4 でも再現するか）は確認していません。
• 報告書では、コード注入の 2 件は Web サーバーの実行ユーザー権限での任意コード実行につながると説明されています。一方、CVSS の影響度は機密性・完全性・可用性とも「低」で、実態より低めに見えます。評価と報告書の記述に食い違いがある点は、読み手が注意する必要があります。
• 3 件とも CVSS のベクターは「認証不要・利用者の操作不要」です。ただし 120348・120349 は、前段で管理画面のセッションが必要と報告書にあり、ベクターとは条件が合いません（確認できていません）。

修正の状況

• CVE-2026-120347 については、NVD の説明にコミット 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231 が修正として挙げられ、「該当の部品を更新するように」と書かれています。このコミットを含むリリース番号は確認できていません。
• CVE-2026-120348・120349 は、NVD の説明に「ベンダーに早期に連絡したが回答がない」とあります。修正版・回避策は確認できていません。
• 120347 の修正コミットが 120348・120349 にも効くかは、確認していません。

数値と出典（2026-11-02 取得）

項目	内容
登録	NVD 2026-11-02（3 件とも Received。NVD 自身の評価は未実施）
CVSS（VulDB＝CNA）	v3.1 7.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L）、v4.0 5.5（E:P）
EPSS（FIRST）	3 件とも値なし（直前の登録のため）
KEV（CISA）	掲載なし（2026-11-02 取得、カタログ 2026.10.30 版・1766 件）

severity を high とした理由

CVSS は 7.3 ですが、報告書の内容は、認証なしでのデータベース読み取り（管理者のパスワードハッシュを含む）と、管理者セッションを足がかりにした Web サーバー権限でのコード実行です。攻撃手法が公開されていて、ベンダーの回答もなく、一部は修正リリースが特定できていません。一方で、悪用は確認されておらず、KEV にも載らず、EPSS も未算出で、利用数は不明です。このため critical ではなく high としました。

対応として考えられること

1. 自社や委託先の Web サイトで XunRuiCMS を使っていないか、使っている場合の版を確認します。
2. 使っている場合は、ベンダーの最新版かつ 120347 の修正コミットが含まれる版へ更新します（含まれるリリースは未確認のため、更新後に該当部分のコードを確認するのが確実です）（推定）。
3. 管理画面の入口を許可した IP だけに絞り、管理者のパスワードを変更します。データベースから漏れた場合に備え、使い回しを避けます（推定）。
4. Web アプリケーションファイアウォール（WAF）で、メンバー API・タスク実行用のエンドポイント（s=api&c=run）への外部からのアクセスを制限します（推定）。
5. Web ルート配下に、見覚えのない PHP ファイルやディレクトリがないか、サイト名・通知テンプレート・モバイルサイトの設定に不審な値がないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 4.7.3・4.7.4 での再現、各 CVE の修正リリース、回避策の有無は確認できていません。
• 120348・120349 が、ベクターのとおり認証なしで成立するのか、管理画面のセッションが前提なのかは確認できていません。
• 国内外での利用数、公開されているサイトの数は分かりません。
• NVD 自身の評価は未実施で、数値は CNA のものです。