---
title: "XunRuiCMS 4.7.4 までに 3 件の脆弱性（CVE-2026-120347〜120349）: 認証不要の SQL インジェクションと、管理者権限からのコード注入 2 件。攻撃手法は公開済み、修正はコミット単位で 1 件のみ確認"
url: https://n-t-p.io/worldsecurity/articles/xunruicms-member-template-api-sql-injection-notice-site-name-mobile-dirname-code-injection-up-to-4-7-4-cve-2026-120347-120349
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-120347, CVE-2026-120348, CVE-2026-120349
---

# XunRuiCMS 4.7.4 までに 3 件の脆弱性（CVE-2026-120347〜120349）: 認証不要の SQL インジェクションと、管理者権限からのコード注入 2 件。攻撃手法は公開済み、修正はコミット単位で 1 件のみ確認

> **TL;DR:** XunRuiCMS 4.7.4 までに 3 件（CVE-2026-120347 SQL インジェクション、120348・120349 コード注入）。CVSS v3.1 7.3／v4.0 5.5（CNA）、攻撃手法は公開済み。120347 は修正コミットが示されるが、他 2 件は修正未確認。KEV なし、EPSS 値なし、悪用は未確認。

**要点**
- 迅睿 CMS（XunRuiCMS）4.7.4 までの 3 件。メンバーモジュールの SQL インジェクション（120347）、通知テンプレートのサイト名（120348）とモバイルサイトのディレクトリ名（120349）からのコード注入
- 報告書は、120347 は認証なしで管理者のパスワードハッシュまで読めるとし、120348・120349 は管理画面のセッションを足がかりに Web サーバー権限でコードを実行できると説明（検証は 4.7.2）
- CVSS は 3 件とも v3.1 が 7.3、v4.0 が 5.5（VulDB＝CNA）。NVD は Received で独自評価なし。報告書の記述と評価の影響度に食い違いあり
- 修正は 120347 のみコミットが示されリリース番号は未確認。他 2 件はベンダー回答なし。KEV なし、EPSS 値なし、悪用は未確認
- 対策は、使用の有無と版の確認、更新、管理画面の IP 制限と管理者パスワードの変更、WAF、不審な PHP ファイルの確認（いずれも推定）

NVD は 2026-11-02 に、中国のオープンソース CMS「XunRuiCMS（迅睿 CMS）」の脆弱性 3 件（CVE-2026-120347・120348・120349）を登録しました。対象は 4.7.4 までの版です。登録元（CNA）は VulDB で、3 件とも CVSS v3.1 は 7.3、v4.0 は 5.5、悪用成熟度は PoC（E:P）です。3 件とも、公開された報告書に再現手順があるとされています。本記事では攻撃の詳細は扱いません。

## 3 件の内容

| CVE | 場所 | 種類 | 説明・報告書から読み取れる条件 |
|---|---|---|---|
| CVE-2026-120347 | メンバーモジュールの View の処理（引数 catid） | SQL インジェクション（CWE-74） | 報告書は、テンプレート API が受け取った全リクエスト引数をテンプレート変数に渡すため、認証なしでデータベースの内容（管理者アカウントのパスワードハッシュを含む）を読み出せると説明しています |
| CVE-2026-120348 | メール通知テンプレートの組み立て処理（Notice の _get_tpl_content） | コード注入（CWE-74） | サイト名が、コンパイル前のテンプレートの原文に差し込まれます。サイト名の設定を書き換える段階では管理画面のセッションが要りますが、その後に実行を起こす処理は、既定の設定（SYS_CRON_AUTH=0）では認証なしで呼べるとされています |
| CVE-2026-120349 | モバイルサイトのディレクトリ名の処理 | コード注入（CWE-74） | ディレクトリ名が、生成される PHP の入口ファイルにエスケープなしで書き込まれます。設定の書き込みには管理画面のセッションが要りますが、生成されたファイルには認証なしでアクセスできるとされています |

- 報告書の検証環境は XunRuiCMS 4.7.2・PHP 7.4 です。NVD の「4.7.4 まで」という範囲との差（4.7.3・4.7.4 でも再現するか）は確認していません。
- 報告書では、コード注入の 2 件は Web サーバーの実行ユーザー権限での任意コード実行につながると説明されています。一方、CVSS の影響度は機密性・完全性・可用性とも「低」で、実態より低めに見えます。評価と報告書の記述に食い違いがある点は、読み手が注意する必要があります。
- 3 件とも CVSS のベクターは「認証不要・利用者の操作不要」です。ただし 120348・120349 は、前段で管理画面のセッションが必要と報告書にあり、ベクターとは条件が合いません（確認できていません）。

## 修正の状況

- CVE-2026-120347 については、NVD の説明にコミット 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231 が修正として挙げられ、「該当の部品を更新するように」と書かれています。このコミットを含むリリース番号は確認できていません。
- CVE-2026-120348・120349 は、NVD の説明に「ベンダーに早期に連絡したが回答がない」とあります。修正版・回避策は確認できていません。
- 120347 の修正コミットが 120348・120349 にも効くかは、確認していません。

## 数値と出典（2026-11-02 取得）

| 項目 | 内容 |
|---|---|
| 登録 | NVD 2026-11-02（3 件とも Received。NVD 自身の評価は未実施） |
| CVSS（VulDB＝CNA） | v3.1 7.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L）、v4.0 5.5（E:P） |
| EPSS（FIRST） | 3 件とも値なし（直前の登録のため） |
| KEV（CISA） | 掲載なし（2026-11-02 取得、カタログ 2026.10.30 版・1766 件） |

## severity を high とした理由

CVSS は 7.3 ですが、報告書の内容は、認証なしでのデータベース読み取り（管理者のパスワードハッシュを含む）と、管理者セッションを足がかりにした Web サーバー権限でのコード実行です。攻撃手法が公開されていて、ベンダーの回答もなく、一部は修正リリースが特定できていません。一方で、悪用は確認されておらず、KEV にも載らず、EPSS も未算出で、利用数は不明です。このため critical ではなく high としました。

## 対応として考えられること

1. 自社や委託先の Web サイトで XunRuiCMS を使っていないか、使っている場合の版を確認します。
2. 使っている場合は、ベンダーの最新版かつ 120347 の修正コミットが含まれる版へ更新します（含まれるリリースは未確認のため、更新後に該当部分のコードを確認するのが確実です）（推定）。
3. 管理画面の入口を許可した IP だけに絞り、管理者のパスワードを変更します。データベースから漏れた場合に備え、使い回しを避けます（推定）。
4. Web アプリケーションファイアウォール（WAF）で、メンバー API・タスク実行用のエンドポイント（s=api&c=run）への外部からのアクセスを制限します（推定）。
5. Web ルート配下に、見覚えのない PHP ファイルやディレクトリがないか、サイト名・通知テンプレート・モバイルサイトの設定に不審な値がないかを確認します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 4.7.3・4.7.4 での再現、各 CVE の修正リリース、回避策の有無は確認できていません。
- 120348・120349 が、ベクターのとおり認証なしで成立するのか、管理画面のセッションが前提なのかは確認できていません。
- 国内外での利用数、公開されているサイトの数は分かりません。
- NVD 自身の評価は未実施で、数値は CNA のものです。

## 出典
- [NVD CVE-2026-120347](https://nvd.nist.gov/vuln/detail/CVE-2026-120347) — NIST NVD
- [NVD CVE-2026-120348](https://nvd.nist.gov/vuln/detail/CVE-2026-120348) — NIST NVD
- [NVD CVE-2026-120349](https://nvd.nist.gov/vuln/detail/CVE-2026-120349) — NIST NVD
- [VulDB 登録情報（CVE-2026-120347）](https://vuldb.com/cve/CVE-2026-120347) — VulDB
- [VulDB 登録情報（CVE-2026-120348）](https://vuldb.com/cve/CVE-2026-120348) — VulDB
- [VulDB 登録情報（CVE-2026-120349）](https://vuldb.com/cve/CVE-2026-120349) — VulDB
- [XunRuiCMS 修正コミット（CVE-2026-120347）](https://gitee.com/dayrui/xunruicms/commit/9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231) — Gitee
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120347) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/xunruicms-member-template-api-sql-injection-notice-site-name-mobile-dirname-code-injection-up-to-4-7-4-cve-2026-120347-120349