AJ-Report CVE-2026-120209はCritical―固定JWT鍵から認証回避・RCEのおそれ
1.7.1以前が対象。VulnCheckのCVSS v4.0評価は9.3。共有トークンの偽造からスクリプト実行へつながる問題で、修正版は確認できていません。
VulnCheckの告知日（CVE登録は11月1日2時25分、日本時間）：2026-10-31 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
VulnCheckは2026年10月31日、AJ-Report 1.7.1以前の認証回避からリモートコード実行につながるCVE-2026-120209を公表しました。評価はCritical（緊急）、CVSS v4.0は9.3です。CVEレコードの登録時刻は日本時間11月1日2時25分で、告知の日付とは区別されます。
原因は、共有トークンの署名に固定のJWT秘密鍵を使っていることです。攻撃者が正規に見えるトークンを作れるため、共有用の認可をすり抜け、スクリプトを処理する機能へ到達するおそれがあります。CNAはGroovyClassLoaderでの処理を経由した未認証のコード実行と説明しています。
11月1日に確認した告知には修正版が示されていません。1.7.1より大きい版番号なら安全と推測せず、提供元の修正情報を確認する必要があります。また、利用者のログインパスワード変更だけで、固定署名鍵の問題が解消するわけではありません。
利用中の組織はバージョンと公開範囲を確認し、修正を確認するまで信頼できる接続元だけにアクセスを制限するなどの暫定措置を検討してください。これは編集部が提案する露出低減策で、修正の代替ではありません。確認した告知に実際の攻撃被害の報告はありません。
出典と編集について
VulnCheck：AJ-Report through 1.7.1 Authentication Bypass leading to RCE via Share-Token ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。