日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,735 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 SQLインジェクション の検索結果：601–640 件目を表示（ページ 16）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
mreportingはGLPIの高度なレポーティングプラグインです。バージョン1.9.4より前のバージョンには、日付変更時にSQLインジェクションが発生する可能性がありました。この脆弱性はバージョン1.9.4で修正されました。
MajorDoMo（別名 Major Domestic Module）には、commands モジュールに認証なしで実行可能なSQLインジェクションの脆弱性があります。commands_search.inc.php ファイルは、$_GET['parent'] パラメータをサニタイズせず、パラメータ化されたクエリも使用せずに複数のSQLクエリに直接埋め込んでいます。commands モジュールは /objects/?module=commands エンドポイントを介して認証なしで読み込むことができ、名前によって任意のモジュールを含め、その usual() メソッドを呼び出します。UNION SELECT SLEEP() 構文を用いた時間差ブラインドSQLインジェクションが悪用可能です。MajorDoMo は users テーブルに管理者パスワードをソルトなしのMD5ハッシュとして保存しているため、脆弱性を成功裏に悪用すると資格情報を抽出し、管理パネルにアクセスすることが可能になります。
EGroupwareはPHPで書かれたWebベースのグループウェアサーバーです。EGroupwareの23.1.20260113および26.0.20260113以前のコアコンポーネントにはSQLインジェクションの脆弱性が存在し、特に`Nextmatch`フィルタ処理に影響を与えます。この脆弱性により認証済みの攻撃者が、データベースクエリの`WHERE`句に任意のSQLコマンドを注入することが可能です。この問題はJSONデコードが数値文字列を整数に変換し、アプリケーションで使用されている`is_int()`によるセキュリティチェックを回避するPHPの型ジャグリングの問題を悪用することで発生します。バージョン23.1.20260113および26.0.20260113でこの脆弱性は修正されています。
Craftはデジタル体験を作成するためのプラットフォームです。Craftのバージョン4.0.0-RC1から4.16.17および5.0.0-RC1から5.8.21までの間で、element-indexes/get-elementsエンドポイントにおいて、criteria[orderBy]パラメータ（JSONボディ）を介したSQLインジェクションの脆弱性が存在します。アプリケーションはこの入力をデータベースクエリで使用する前に適切にサニタイズしていません。コントロールパネルのアクセス権を持つ攻撃者は、viewState[order]を省略するか、あるいは両方を同じペイロードに設定することで、任意のSQLをORDER BY句に挿入可能です。この問題はバージョン4.16.18および5.8.22で修正されています。
jizhicms 2.5.6 には、Article/deleteAll および Extmolds/deleteAll の data パラメータを介して SQL インジェクションの脆弱性が存在します。
60CycleCMS 2.5.2にはnews.phpおよびcommon/lib.phpにSQLインジェクションの脆弱性が含まれており、攻撃者が検証されていないユーザー入力を通じてデータベースクエリを操作できます。攻撃者は'title'などの脆弱なクエリパラメータを悪用して悪意のあるSQLコードを注入し、データベースの内容を抽出または変更する可能性があります。この問題はクロスサイトスクリプティングを含まないものです。
CordysCRM 1.4.1 には、従業員リストのクエリインターフェース (/user/list) で、departmentIds パラメータを介したSQLインジェクションの脆弱性が存在します。
OpenSTAManagerは、技術支援および請求管理のためのオープンソース管理ソフトウェアです。バージョン2.9.8およびそれ以前のバージョンにおいて、get_sedi操作を処理するajax_complete.phpエンドポイントにSQLインジェクションの脆弱性が存在します。認証済みの攻撃者はidanagraficaパラメータを通じて悪意のあるSQLコードを注入でき、不正なデータベースアクセスを引き起こす可能性があります。公開時点では既知の修正パッチは存在しません。
OpenSTAManagerは、技術支援および請求書発行のためのオープンソース管理ソフトウェアです。バージョン2.9.8およびそれ以前のバージョンには、StampeモジュールにSQLインジェクションの脆弱性が存在します。公表時点では、既知の修正パッチは存在していません。
JEEWMS 1.0 にはSQLインジェクションの脆弱性があります。攻撃者は /systemControl.do インターフェースの id1 および id2 パラメータを通じて悪意のあるSQL文を注入し、攻撃を実行できます。
mathurvishal CloudClassroom-PHP-Project バージョン 5dadec098bfbbf3300d60c3494db3fb95b66e7be までに脆弱性が発見されました。この脆弱性は、コンポーネント Post Query Details Page の /postquerypublic.php ファイル内の不明な関数に影響を与えます。引数 gnamex の操作により SQL インジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される可能性があります。本製品はローリングリリース方式で継続的に提供されているため、影響を受けるバージョンや更新リリースの詳細を特定できません。ベンダーには早期に本件を連絡しましたが、現在まで応答はありません。
Fortinet FortiClientEMS 7.4.4 における SQL コマンドで使用される特殊要素が不適切に無効化される（SQL インジェクションの）脆弱性により、認証されていない攻撃者が特別に細工された HTTP リクエストを介して不正なコードやコマンドを実行できる可能性があります。
ChurchCRMはオープンソースの教会管理システムです。バージョン6.7.2より前のChurchCRMのエンドポイント`/PaddleNumEditor.php`にはSQLインジェクションの脆弱性が存在します。割り当てられた権限がゼロのユーザーを含む認証済みユーザーであれば誰でも、`PerID`パラメータを介してSQLインジェクションを悪用できます。この問題はバージョン6.7.2で修正されています。
Fikir Odalari AdminPando 1.0.1 の 2026-01-26 より前のバージョンのログイン機能には、SQL インジェクションの脆弱性が存在します。username と password パラメータが SQL インジェクションに対して脆弱であり、認証されていない攻撃者が認証を完全に回避できる可能性があります。この脆弱性が悪用されると、アプリケーションへの完全な管理者アクセス権を取得し、公に表示されるウェブサイトのコンテンツ（HTML/DOM の操作を含む）を操作する能力を得ます。
Ivanti Endpoint Managerのバージョン2024 SU5以前にはSQLインジェクションの脆弱性が存在し、リモートの認証済み攻撃者がデータベースから任意のデータを読み取ることが可能です。
GUnet OpenEclass 1.7.3には複数のSQLインジェクション脆弱性が存在し、認証済みの攻撃者が検証されていないパラメータを通じてデータベースクエリを操作できます。攻撃者はagendaモジュールの「month」パラメータやその他のエンドポイントを悪用して、エラーベースまたはタイムベースのインジェクション技術を使用し、機密なデータベース情報を抽出できます。
IBM Aspera Console 3.4.0から3.4.8にはSQLインジェクションの脆弱性があります。リモートの攻撃者が特別に細工されたSQL文を送信することで、バックエンドデータベースの情報を閲覧、追加、変更、または削除できる可能性があります。
この脆弱性により、認証されていない攻撃者がGETリクエストのパラメータにSQLリクエストを注入し、基盤となるデータベースに直接照会を行うことが可能になります。
SourceCodester Medical Center Portal Management System 1.0 に脆弱性が発見されました。影響を受けるのは /emp_edit1.php ファイル内の未知の関数です。引数 ID の操作によって SQL インジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
itsourcecode School Management System 1.0 に脆弱性が確認されました。この脆弱性は /ramonsys/user/index.php ファイル内の不明な関数に影響を及ぼします。引数 ID を操作することで SQL インジェクションが発生する可能性があります。この攻撃はリモートから実行される可能性があり、エクスプロイトも公開されているため悪用される恐れがあります。
code-projects Social Networking Site 1.0にセキュリティ上の欠陥が発見されました。この欠陥はファイル/delete_post.phpの未特定の関数に影響します。引数IDを操作することでSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは公開されており、攻撃に利用される可能性があります。
Mini-Tmallのバージョン20250211までにクリティカルと分類された脆弱性が発見されました。この問題はcom/xq/tmall/dao/ProductMapper.javaファイルのselect関数に影響を与えます。引数orderByの操作によりSQLインジェクションが発生します。この攻撃はリモートで開始される可能性があります。エクスプロイトは公開されており、使用される恐れがあります。ベンダーにはこの公開について早期に連絡しましたが、応答はありませんでした。
Navigate CMS 2.8.7には認証されたSQLインジェクションの脆弱性があり、攻撃者がコメント内の'sidx'パラメータを操作することでデータベース情報を漏洩させる可能性があります。攻撃者はタイムベースのブラインドSQLインジェクション技術を使用してユーザーのアクティベーションキーを抽出し、この脆弱性を悪用して管理者アカウントのパスワードをリセットできる可能性があります。
この脆弱性は、管理者認証ユーザーを対象とするStructureにおいてSQLインジェクションの問題を引き起こします。
itsourcecodeディレクトリ管理システム1.0にセキュリティ脆弱性が検出されました。影響を受ける要素はファイル/admin/index.phpの不明な関数です。引数Usernameの操作によりSQLインジェクションが発生します。攻撃はリモートで開始可能です。このエクスプロイトは公開されており、悪用される可能性があります。
PHPGurukul Hospital Management System 4.0にセキュリティ脆弱性が検出されました。影響を受けるのはファイル/hms/admin/manage-doctors.php内の特定の関数であり、引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行される可能性があります。エクスプロイトは公開されており、悪用される恐れがあります。
projectworlds Online Food Ordering System 1.0に脆弱性が発見されました。この脆弱性はファイル/view-ticket.phpの未知の関数に影響を及ぼします。引数IDを操作するとSQLインジェクションが発生する可能性があります。この攻撃はリモートから実行可能であり、エクスプロイトが公開されているため悪用される危険性があります。
code-projects Online Examination System 1.0に脆弱性が識別されました。この問題の影響を受けるのは、login.phpファイルの特定の機能です。usernameおよびpassword引数の操作によりSQLインジェクションが発生します。この攻撃はリモートで実行される可能性があります。
itsourcecode News Portal Project 1.0に脆弱性が発見されました。この脆弱性は、管理者ログインコンポーネントのファイル/admin/index.phpの不明なコードに影響を及ぼします。引数emailを操作することでSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
PHP Melody バージョン3.0には、動画編集モジュールにリモートSQLインジェクションの脆弱性が存在し、認証された攻撃者が悪意のあるSQLコマンドを注入できます。攻撃者は検証されていない 'vid' パラメータを悪用して任意のデータベースクエリを実行し、ウェブアプリケーションおよびデータベース管理システムを侵害する可能性があります。
Simple CMS 2.1には、特権を持つ攻撃者がusersモジュールでフィルタリングされていないSQLコマンドを注入できるリモートSQLインジェクションの脆弱性があります。攻撃者はadmin.phpファイルの検証されていない入力パラメータを悪用して、データベース管理システムおよびウェブアプリケーションを侵害する可能性があります。
ThemeMove Amely における SQL コマンドで使用される特殊要素の不適切な無効化（「SQL インジェクション」）の脆弱性により、SQL インジェクション攻撃が可能です。この問題は Amely のバージョン n/a から 3.1.4 までに影響します。
Aptsys gemscms POSプラットフォームのバックエンドにあるGetServiceByRestaurantIDエンドポイントには、2025年5月28日までSQLインジェクションの脆弱性が存在します。この脆弱性は、ユーザー入力が適切にサニタイズやパラメータ化されずに動的SQLクエリの構文に直接挿入されることに起因しています。これにより、攻撃者はidパラメータに細工された入力を送信して任意のSQLコードを注入・実行でき、許可されていないデータにアクセスしたり改ざんしたりすることが可能です。
山東科デ電子株式会社のIoTスマート水道メーター監視プラットフォームv1.0にSQLインジェクションの脆弱性が存在し、リモートの攻撃者がimei_list.aspxファイルを介して任意のコードを実行できる可能性があります。
v1.1.2より前のgeopandasにおけるSQLインジェクションの脆弱性により、攻撃者がGeoDataFrameをPostgreSQLデータベースに書き込むために使用される`to_postgis()`関数を介して機密情報を取得できる可能性があります。
code-projects Student Web Portal 1.0 に脆弱性が検出されました。この脆弱性は /check_user.php ファイルの不明な関数に影響します。Username 引数を操作することで SQL インジェクションが発生します。リモートから攻撃を開始することが可能です。
code-projects Online Application System for Admission 1.0に脆弱性が判明しました。この脆弱性は、Login Endpointコンポーネントのファイルenrollment/index.phpの不明な機能に影響を与えます。操作の実行によりSQLインジェクションが引き起こされる可能性があります。この攻撃はリモートで実行可能です。エクスプロイトは公開されていて、悪用される可能性があります。
code-projects Contact Management System 1.0にセキュリティ脆弱性が検出されました。この問題は不明なindex.pyファイルの処理に影響を及ぼします。引数selecteditem[0]の操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。
コードプロジェクトのSimple Blood Donor Management System 1.0に脆弱性が発見されました。この脆弱性は、ファイル/simpleblooddonor/editcampaignform.phpの未知の機能に影響を及ぼします。引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
Infinera DNA は、不十分な入力検証によりタイムベースのSQLインジェクションの脆弱性を含み、機密情報が漏洩する可能性があります。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,735件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。