概要
SourceCodester/mayuri_k Best Courier Management System 1.0において、アクセス制御の不備に関する脆弱性（CVE-2026-5330）が発見されました。この脆弱性は、ユーザー削除を処理するコンポーネント（/ajax.php?action=delete_user）に存在し、特定の引数（ID）を操作することで、不適切なアクセス制御が発生すると報告されています。
本脆弱性はリモートから悪用される可能性があり、既にエクスプロイトコードが公開されているため、早急な対応が推奨されます。CVSSv3スコアは6.9（MEDIUM）と評価されています。
影響範囲
SourceCodester/mayuri_k Best Courier Management System バージョン 1.0
具体的には、ユーザー削除機能（/ajax.php?action=delete_user）が影響を受けるとされています。
想定される影響
認証されていない攻撃者が、リモートからシステム上のユーザーアカウントを削除できる可能性があります。これにより、システム運用に混乱が生じたり、正規ユーザーがサービスを利用できなくなるなどの影響が考えられます。
攻撃成立条件・悪用状況
攻撃はリモートから開始される可能性があります。
特定の引数（ID）を操作することで、アクセス制御が回避されると報告されています。
本脆弱性のエクスプロイトコードは既に公開されており、悪用される危険性があります。
推奨対策
今すぐできる対策
- システムのアップデート: ベンダーから修正パッチが提供されている場合は、速やかに適用してください。現時点では具体的なパッチ情報が不明なため、ベンダーの公式情報を継続的に確認することが重要です。
中長期的な対策
- アクセス制御の見直し: ユーザー削除機能など、機密性の高い操作については、認証・認可の仕組みが適切に機能しているか定期的に見直してください。特に、IDなどのパラメータが直接操作されることによるアクセス制御のバイパスがないか確認が必要です。
- WAFの導入・設定強化: Webアプリケーションファイアウォール（WAF）を導入している場合、不審なリクエストパターンを検知・ブロックするよう設定を強化することを検討してください。
- ログ監視の強化: 不審なユーザー削除操作や、システムへの異常なアクセスがないか、ログ監視を強化してください。
一時的な緩和策
現時点では、具体的な一時的な緩和策は報告されていません。システムのアップデートが最優先となります。
もし可能であれば、ユーザー削除機能へのアクセスを、信頼できるIPアドレスからのアクセスに限定するなどのネットワークレベルでの制限も検討できますが、システム構成によっては困難な場合があります。
確認方法
本脆弱性の影響を受けているかを確認する具体的な方法は、現時点では公開されていません。
システムのバージョンが1.0である場合、影響を受ける可能性があります。
システムログを監視し、不審なユーザー削除操作がないか確認することが推奨されます。
参考情報
- CVEfeed.io: https://cvefeed.io/vuln/detail/CVE-2026-5330