| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-79411 |
| 影響を受ける製品 | Webkul Bagisto |
| 確認されたバージョン | 2.4.9 |
| 技術調査で影響が確認されたバージョン | 2.4.10 |
| 脆弱性の種類 | 不適切な権限管理による垂直権限昇格 |
| CWE | CWE-269：Improper Privilege Management |
| CVSS v3.1 | 8.8（High） |
| 攻撃に必要な権限 | 一部のユーザー編集権限を持つ管理ユーザー |
| 主な影響 | Administrator権限の取得、管理画面の完全な操作 |
| 修正状況 | 公開された技術情報では、少なくとも2.4.10まで未修正と報告 |
Bagistoとは
Bagistoは、Webkulが開発するLaravelベースのオープンソースECプラットフォームです。
ECサイトの運用に必要な商品、顧客、注文、決済、設定などを管理するバックエンド機能を備えています。
管理画面では、担当者ごとに利用できる機能を制御するため、ロールベースのアクセス制御が利用されます。
このような仕組みでは、「対象の画面へアクセスできるか」だけでなく、「自分より強い権限を付与できないか」までサーバー側で確認する必要があります。
脆弱性の詳細
本脆弱性は、Bagistoの管理ユーザー更新機能に存在します。
ユーザー編集機能へアクセスできる管理ユーザーは、ユーザー情報とともに role_id を送信できます。
しかし、公開された技術調査では、ロール変更時に必要となる複数の認可チェックが不足していることが確認されています。
具体的には、
- 操作者が指定されたロールを付与してよいか
- 操作者自身を変更対象としていないか
- 変更後のロールが操作者自身より高い権限を持っていないか
といった検証が十分に行われません。
そのため、限定的なユーザー編集権限しか持たない管理ユーザーであっても、自身のアカウントを編集対象としてAdministratorロールを指定することで、権限を昇格できる可能性があります。
公開された技術情報では、ユーザー管理画面上にAdministratorを含むロール一覧が表示されるため、特殊なリクエストを作成しなくても通常の管理画面操作から権限昇格につながる可能性が指摘されています。
垂直権限昇格とは
権限昇格には大きく分けて、水平権限昇格と垂直権限昇格があります。
水平権限昇格は、同じ権限レベルにある別ユーザーの情報や機能へアクセスする問題です。
一方、垂直権限昇格は、一般ユーザーや低権限ユーザーが、本来付与されていない管理者などの上位権限を取得する問題を指します。
今回の脆弱性では、限定的な管理権限しか持たないユーザーがAdministratorへ昇格できる可能性があるため、垂直権限昇格に該当します。
想定される影響
Administrator権限を取得された場合、Bagisto管理画面で許可されているほぼすべての操作が攻撃者に利用される可能性があります。
想定される主な影響は以下のとおりです。
- 顧客情報への不正アクセス
- 注文情報の閲覧・変更
- 商品情報や価格の改ざん
- ストア設定の変更
- 管理ユーザーの追加・変更
- 他の管理者アカウントへの影響
- 決済関連設定へのアクセス
- ECサイトの運用妨害
- 機密情報の漏えい
- 継続的な管理権限の維持
ECサイトの管理画面には顧客情報、注文情報、設定情報など重要なデータが集中しているため、完全な管理者権限を取得された場合の影響は大きくなります。
攻撃の成立条件
本脆弱性を悪用するには、Bagistoのバックエンドへログイン可能な管理ユーザーアカウントが必要です。
ただし、完全なAdministrator権限は必要なく、ユーザー編集に関連する限定的な権限があれば攻撃が成立する可能性があります。
そのため、管理画面へアクセス可能な担当者が複数存在し、業務ごとに権限を分離している環境では特に注意が必要です。
対策
Bagistoを利用している場合は、ベンダーのセキュリティ情報を確認し、本脆弱性への修正を含むバージョンが提供された場合は速やかにアップデートしてください。
システム側では、以下の対策が重要です。
1. ロール変更時に付与権限を確認する
ユーザー情報を変更できることと、任意のロールを付与できることは分けて管理する必要があります。
操作者が付与可能なロールをサーバー側で明示的に制限してください。
2. 自分自身の権限変更を制限する
一般的な管理システムでは、ユーザーが自身の権限を自由に引き上げられないようにする必要があります。
必要に応じて、ロール変更を別の管理者による承認制にすることも有効です。
3. 自分より高い権限を付与できないようにする
操作者が持つ権限を超えるロールを他のユーザーへ付与できないよう、ロール階層や権限集合をサーバー側で比較してください。
4. ロールIDの存在確認だけで認可判断を行わない
指定された role_id がデータベース上に存在することと、そのユーザーが当該ロールを付与してよいことは別の問題です。
入力値検証に加えて、必ず認可処理を実装してください。
5. 管理者権限の変更を監視する
Administratorロールの付与、管理ユーザーの作成、権限変更などを監査ログへ記録し、不審な変更を検知できるようにすることが重要です。
まとめ
CVE-2026-79411は、Bagistoの管理ユーザー更新機能において、ロールを変更する際の認可チェックが不足していることに起因する垂直権限昇格の脆弱性です。
限定的なユーザー編集権限を持つ管理ユーザーが、自身へAdministratorロールを付与し、管理画面全体を操作できる状態になる可能性があります。
ロールベースのアクセス制御では、「その機能へアクセスできるか」だけでは十分ではありません。
誰に、どの権限を、誰が付与できるのかという権限管理そのものについても、サーバー側で厳密に認可することが重要です。
参考情報
■ CVE
CVE-2026-79411
■ 脆弱性種別
CWE-269：Improper Privilege Management
■ CVE.org
CVE-2026-79411
■ Technical Advisory / Research
CyberCrew Isuka Sanujによる技術情報
