| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-79409 |
| 影響を受ける製品 | Webkul Bagisto |
| 確認されたバージョン | 2.4.9 |
| 技術調査で影響が確認されたバージョン | 2.4.10 |
| 脆弱性の種類 | 認可不備によるダウンロードコンテンツへの不正アクセス |
| CWE | CWE-639：Authorization Bypass Through User-Controlled Key |
| CVSS v3.1 | 6.5（Medium） |
| 攻撃に必要な権限 | 認証済み一般ユーザー |
| 主な影響 | 購入していないダウンロード商品の不正取得 |
| 修正状況 | 公開された技術情報では、少なくとも2.4.10まで未修正と報告 |
Bagistoとは
Bagistoは、Webkulが開発するLaravelベースのオープンソースECプラットフォームです。
商品管理、顧客管理、注文管理、決済、在庫管理など、ECサイトを構築するための各種機能を提供しており、通常の商品だけでなく、ダウンロード形式の商品を販売する機能も備えています。
ダウンロード商品では、購入したユーザーに対して対象ファイルを取得する権限を付与する必要があります。そのため、価格計算だけでなく、「購入した商品」と「付与されるファイル」の対応関係をサーバー側で厳密に検証することが重要です。
脆弱性の詳細
本脆弱性は、Bagistoのダウンロード商品をカートへ追加する処理と、購入後にダウンロード権限を付与する処理の間で、検証方法が一致していないことに起因します。
問題となるのは、カート追加時に指定される links[] パラメータです。
この値には、購入するダウンロードコンテンツを識別するIDが含まれます。
価格計算処理では、対象の商品に実際に紐づいているダウンロードリンクのみが参照されるため、別商品に属するリンクIDを指定しても、そのファイルの価格は注文金額に加算されません。
しかし、購入完了後にダウンロード権限を作成する処理では、保存されたリンクIDを基にダウンロードリンクが取得されます。この際、取得したリンクが購入した商品に属しているかを十分に確認しない場合、本来購入していない商品のファイルに対してもダウンロード権限が作成される可能性があります。
つまり、
「どの商品について料金を計算したか」
と
「どのファイルについてダウンロード権限を付与するか」
の検証条件が一致していないことが、本脆弱性の根本的な問題です。
想定される影響
本脆弱性が悪用された場合、認証済みユーザーが本来購入していないダウンロード商品を取得できる可能性があります。
想定される主な影響は以下のとおりです。
- 有料デジタルコンテンツの不正取得
- 電子書籍、資料、ソフトウェアなどの不正ダウンロード
- 本来必要な料金を支払わない状態でのコンテンツ取得
- 販売コンテンツの機密性侵害
- デジタル商品の不正流通
- EC事業者の売上・知的財産への影響
特に、ソフトウェア、設計データ、動画、電子書籍、有料資料などをダウンロード商品として販売している環境では、重要なコンテンツが第三者へ流出する可能性があります。
攻撃の成立条件
本脆弱性を悪用するには、Bagisto上で利用可能な顧客アカウントが必要です。
CVSS評価でもPrivileges RequiredはLowとされており、管理者権限は必要ありません。
一般ユーザーがアカウントを作成できるECサイトでは、攻撃者自身がアカウントを作成できる可能性があるため、管理者だけが利用する機能の脆弱性と比較して攻撃対象が広くなる点に注意が必要です。
対策
Bagistoを利用している場合は、ベンダーから提供されるセキュリティ更新情報を確認し、本脆弱性への修正を含むバージョンが提供された場合は速やかにアップデートしてください。
修正版を適用できない場合は、暫定対策として以下のような対応が考えられます。
1. ダウンロードリンクと商品の関連性をサーバー側で検証する
クライアントから送信されたリンクIDをそのまま信頼せず、そのリンクが購入対象の商品に属していることをサーバー側で確認してください。
2. 権限付与時にも再度認可チェックを行う
カート追加時だけでなく、注文確定後にダウンロード権限を作成する処理でも、購入商品と対象ファイルの関連性を確認してください。
3. クライアントから送信されるIDを信頼しない
商品IDやダウンロードリンクIDなどの識別子はユーザーによって変更できることを前提とし、必ずサーバー側でアクセス権限を検証してください。
4. ダウンロード履歴を監視する
同一アカウントによる大量ダウンロードや、購入履歴と一致しないコンテンツ取得が発生していないか確認することも重要です。
まとめ
CVE-2026-79409は、Bagistoのダウンロード商品処理において、購入対象の商品と付与されるダウンロード権限の関連性が十分に検証されないことに起因する認可不備です。
認証済みユーザーが別商品のダウンロードリンク識別子を指定することで、本来購入していないファイルへアクセスできる可能性があります。
ECサイトにおける価格検証とアクセス制御は別々に考えるのではなく、注文確定からコンテンツ提供まで一貫してサーバー側で認可を確認することが重要です。
参考情報
■ CVE
CVE-2026-79409
■ 脆弱性種別
CWE-639：Authorization Bypass Through User-Controlled Key
■ CVE.org
CVE-2026-79409
■ Technical Advisory / Research
CyberCrew Isuka Sanujによる技術情報
