脆弱性情報（JVN）検索・一覧

AOS-8およびAOS-10のコマンドラインインターフェースおよび管理プロトコルを通じてアクセス可能ないくつかの基盤サービスコンポーネントにSQLインジェクションの脆弱性が存在します。管理者権限を持つ認証済みの攻撃者は、バックエンドのデータベースクエリに非サニタイズのまま渡されるパラメータに細工された入力を注入することで、これらの脆弱性を悪用できます。成功した場合、攻撃者は基盤となるオペレーティングシステム上で任意のコマンドを実行可能です。

AOS-8およびAOS-10のコマンドラインインターフェースおよび管理プロトコルを通じてアクセス可能ないくつかの基盤サービスコンポーネントにSQLインジェクションの脆弱性があります。管理者権限を持つ認証済み攻撃者は、サニタイズされていないパラメータに細工された入力を注入することでこれらの脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は基盤となるオペレーティングシステム上で任意のコマンドを実行できる恐れがあります。

Fortinet FortiMail 7.6.0から7.6.3、FortiMail 7.4.0から7.4.5、FortiMail 7.2.0から7.2.8において、SQLコマンドで使用される特殊要素が適切に無害化されていない（SQLインジェクション脆弱性[CWE-89]）ため、認証された権限を持つ攻撃者が特別に細工されたHTTPまたはHTTPSリクエストを通じて、不正なコードやコマンドを実行する可能性があります。

Strapiはオープンソースのヘッドレスコンテンツ管理システムです。4.x系の4.26.1未満のバージョンおよび5.x系の5.33.2未満のバージョンにおいて、Strapi Content-Type Builderの書き込みAPIにデータベースクエリインジェクションの脆弱性が存在しました。認証済みの管理者はcontent typeの作成や変更時に`column.defaultTo`属性を通じて任意のデータベースステートメントを注入可能でした。`defaultTo`をタプル`[value, {isRaw: true}]`として設定すると、値がスキーママイグレーション時にKnexの`db.connection.raw()`へサニタイズなしで直接渡され、データベース層で任意のステートメントが実行されてしまいます。使用しているデータベースエンジンに依存して、この脆弱性によりデータベースユーティリティ関数を使った任意ファイル読み取り、スキーママイグレーションエラー時の強制サーバークラッシュによるサービス拒否、外部プログラム実行が許されているエンジンではデータベースサーバーに対するリモートコード実行が可能となります。4.26.1および5.33.2のパッチでは、Content-Type Builderの書き込みAPIを開発モードのみに制限することでこの問題に対処しました。v5.33.2以降の本番環境では`/content-type-builder/content-types`および関連エンドポイントへのリクエストに対して404を返すため、ネットワークからアクセス可能な攻撃面を完全に排除しています。

Genesys Latitude v25.1.0.420には、認証された攻撃者がバックエンドデータベースに対して任意のSQLクエリを実行できるSQLインジェクションの脆弱性があります。この脆弱性は、ユーザーから提供された入力がサニタイズされずにSQL文に直接連結されるために発生します。

ElectricはPostgres同期エンジンです。バージョン1.1.12から1.5.0未満のElectricSQLの/v1/shape APIにおけるorder_byパラメータには、エラーに基づくSQLインジェクションの脆弱性があります。認証された任意のユーザーは細工されたORDER BY式を通じて、基盤となるPostgreSQLデータベースの全内容を読み取り、書き込み、破壊することが可能です。この脆弱性はバージョン1.5.0で修正されました。

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.39より前のコアデータベースパッケージにおいて、queryParentSQL()関数はパラメータ化されたクエリを使用せず、文字列連結でnodeIdsを結合し再帰的なCTEクエリを構築していました。nodeIds配列にはデータベースの行から読み取られた主キー値が含まれています。悪意のある文字列の主キーを持つレコードを作成できる攻撃者は、その後の任意のリクエストが該当コレクションでの再帰的イーガーロードをトリガーした際に任意のSQLをインジェクトできます。この問題はバージョン2.0.39で修正されました。

Sunnetが開発したCTMSにはSQLインジェクションの脆弱性があり、認証されたリモート攻撃者が任意のSQLコマンドを注入してデータベースの内容を読み取り、変更および削除できます。

Ivanti Endpoint Managerのバージョン2024 SU6以前のWebコンソールにおけるSQLインジェクションの脆弱性により、リモートの認証済み攻撃者がリモートコードを実行できる可能性があります。

`FilterEngine.create_sqla_query()` におけるSQLインジェクション脆弱性により、認証済みの任意のRucioユーザーがDID検索エンドポイント（`GET /dids/scope/dids/search`）を介してバックエンドデータベースに対して任意のSQLを実行できます。Oracle環境では攻撃者が制御するフィルターキーと値がPythonの `.format()` によって `sqlalchemy.text()` に直接挿入され、パラメータ化を完全にバイパスします。これにより認証トークン、パスワードハッシュ、すべての管理データ識別子の抽出を含むデータベース全体の完全な侵害が可能となります。本脆弱性はバージョン1.27.0以降から35.8.5、38.5.5、39.4.2、40.1.1より前のバージョンに影響します。脆弱性は `lib/rucio/core/did_meta_plugins/filter_engine.py` の `create_sqla_query()` メソッドに存在し、データベース方言がOracleの場合、JSONメタデータカラムのフィルター式がPython文字列フォーマットを用いた `text()` によって構築されます。`key` と `value` はHTTPクエリパラメータに由来する攻撃者制御の文字列であり、`text()` は内容のエスケープやパラメータ化を行わない生のSQLフラグメントを生成します。認証済みの任意のRucioユーザーはDID検索APIを介してこれを悪用でき、バックエンドデータベースに対して任意のSQLを実行可能で、すべての管理データ識別子および識別子、トークン、アカウント、rse_settings、ルールなどの機密テーブルの情報漏洩やデータベース内容の変更を引き起こす可能性があります。本問題はデフォルトのjson_metaプラグインを使用するOracle環境に影響し、PostgreSQLやMySQL環境には影響しません。本脆弱性はバージョン35.8.5、38.5.5、39.4.2、40.1.1で修正されています。

Rucioのバージョン1.30.0以降において、35.8.5、38.5.5、39.4.2、40.1.1の各バージョンより前のリリースに、FilterEngine.create_postgres_query()にSQLインジェクションの脆弱性が存在します。この脆弱性により、認証された任意のRucioユーザーがDID検索エンドポイント（GET /dids/scope/dids/search）を通じてPostgreSQLのメタデータデータベースに任意のSQLを実行可能です。postgres_metaメタデータプラグインが設定されている場合、攻撃者が制御するフィルターのキーと値がPythonの.format()を介して直接生のSQL文字列に挿入され、その後psycopg3のsql.SQL()に渡されて信頼されたSQL構文として処理されます。サービスアカウントに割り当てられたデータベース特権によっては、脆弱性を悪用することで機密テーブルの露出、メタデータの修正や削除、サーバー側ファイルへのアクセス、またはCOPY ... FROM PROGRAMのようなPostgreSQLの機能を通じてコード実行が可能になる場合があります。この問題は明示的にpostgres_metaメタデータプラグインを使用している展開に影響します。この脆弱性はバージョン35.8.5、38.5.5、39.4.2、40.1.1で修正されています。

SQLBotは、大規模言語モデルとRAGに基づくインテリジェントなText-to-SQLシステムです。バージョン1.7.0およびそれ以前のバージョンでは、Text2SQLチャットインターフェースがプロンプトインジェクションに対して脆弱でした。ユーザーが提供したquestionパラメータはフィルタリングやエスケープ処理なしに直接LLMプロンプトに連結され、LLMの応答から抽出されたSQLは検証やサニタイズなしにデータベースで実行されます。認証された攻撃者は悪意のある質問を作成し、LLMを操作して任意のSQL文を生成および実行させることが可能です。PostgreSQLデータソースに接続している場合、これはCOPY FROM PROGRAMを介したリモートコード実行につながる可能性があります。この問題はバージョン1.7.1で修正されました。

PraisonAIはマルチエージェントチームシステムです。praisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9以前では、SQLiteConversationStoreにのみ入力検証が追加されていましたが、MySQL、PostgreSQL、非同期SQLite/MySQL/PostgreSQL、Turso、SingleStore、Supabase、SurrealDBの9つの姉妹バックエンドはtable_prefixをそのままf文字列SQLに渡していました。同一の根本原因、コードパターン、および悪用方法が存在し、コードベース全体で52の未検証インジェクションポイントがありました。postgres.pyはさらにDDLに直接使用される未検証のスキーマパラメータも受け入れていました。この問題はpraisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9で修正されました。

認証済みのSQLインジェクションの脆弱性（CWE-89）が、Kohaのスタッフインターフェースの/cgi-bin/koha/suggestion/suggestion.plエンドポイントに存在しています。この脆弱性は、GetDistinctValues機能で使用されるdisplaybyパラメータの不適切な検証に起因します。権限の低いスタッフユーザーは、このパラメータに細工されたリクエストを送信することで任意のSQLクエリを注入でき、意図しないSQL文を実行し、機密データベース情報が漏洩する可能性があります。攻撃が成功すると、バックエンドデータベースの完全な乗っ取りや、保存されたデータの開示・改ざんが引き起こされる可能性があります。

SQL ServerにおけるSQLコマンドで使用される特殊要素の不適切な無効化（『SQLインジェクション』）により、認可された攻撃者がローカルで権限を昇格させることが可能になります。

SQL Server における SQL コマンドで使用される特殊な要素が不適切に無害化される（「SQL インジェクション」）ことで、認可された攻撃者がローカルで権限を昇格させることが可能になります。

NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載のノーコード/ローコードプラットフォームです。バージョン2.0.39以前では、危険なSQLキーワード（例：pg_read_file、LOAD_FILE、dblink）をブロックするcheckSQL()検証関数がcollections:createおよびsqlCollection:executeエンドポイントに適用されていましたが、sqlCollection:updateエンドポイントには適用されていませんでした。コレクション管理権限を持つ攻撃者は、無害なSQLでSQLコレクションを作成し、その後任意のSQLに更新してすべての検証を回避できました。その結果、コレクションをクエリして注入したSQLを実行し、データを漏洩させる可能性がありました。この問題はバージョン2.0.39で修正されました。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1以前には、SeaTableノードのrow:searchおよびrow:get操作において、ユーザー制御の入力がエスケープやパラメータ化されずに直接SQLクエリ文字列に連結される脆弱性が存在していました。外部ユーザーの入力が式を介してSeaTableノードの検索または行取得パラメータに渡されるワークフローでは、攻撃者が構築されたクエリを操作して、意図しない行を接続されたSeaTableベースから取得し、ワークフローに実装された行レベルのフィルタリングロジックを回避する可能性がありました。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1より前のバージョンでは、GHSA-f3f2-mcxc-pwjxの修正がSnowflakeノードおよびレガシーMySQL v1ノードに適用されていませんでした。これらのノードは、ユーザーが制御するテーブル名、カラム名、および更新キーを識別子のエスケープなしで直接クエリ文字列に埋め込むことでSQLクエリを構築しており、その結果、接続されたデータベースに対するSQLインジェクションを可能にしていました。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。

Song-Li cross_browserのca690f0fe6954fd9bcda36d071b68ed8682a786aまでに脆弱性が発見されました。この脆弱性はコンポーネントdetailsのEndpointであるflask/uniquemachine_app.pyファイルの特定の部分に影響します。引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは公開されており、悪用される可能性があります。本製品は継続的な配信のためローリングリリースが実装されているため、影響を受けるまたは更新されたリリースのバージョン情報は利用できません。ベンダーには早期に本公開について連絡しましたが、対応はありませんでした。

ByteDance coze-studio バージョン0.5.1までに脆弱性が検出されました。この脆弱性は、コンポーネント databaseTool のファイル backend/domain/memory/database/service/database_impl.go 内の ExecuteSQL 関数に影響を与えます。不正な操作を行うと SQL インジェクションが発生します。攻撃はリモートから開始可能です。エクスプロイトは既に公開されており、悪用される可能性があります。ベンダーには早期に開示の連絡を行いましたが、応答はありませんでした。

Spring AIの`CosmosDBVectorStore`にはSQLインジェクションの脆弱性が存在し、攻撃者が細工されたドキュメントIDを利用して任意のSQLクエリを実行できる可能性があります。この脆弱性はSpring AIのバージョン1.0.0から1.0.5および1.1.0から1.1.4に影響を与え、それぞれバージョン1.0.6と1.1.5で修正されています。

DovecotのSQLベースの認証は、管理者がauth_username_charsをクリアすると回避される可能性があります。この脆弱性によって、任意のユーザーの認証を回避したり、ユーザーの列挙を行ったりすることが可能になります。auth_username_charsをクリアしないでください。もしそれが不可能な場合は、最新の修正バージョンをインストールしてください。公に利用可能なエクスプロイトは確認されていません。

Xiboは、ウェブコンテンツ管理システムとWindows表示プレイヤーソフトウェアを備えたオープンソースのデジタルサイネージプラットフォームです。バージョン1.7から4.4.0までに、データセットのフィルタリングを担当するCMS内のAPIルートにSQLインジェクションの脆弱性が存在します。これにより、認証済みユーザーが特別に細工された値をAPIのフィルターパラメーターに注入することで、Xiboデータベースから任意のデータを取得および変更できます。この脆弱性は、「データセット機能へのアクセス」特権または「レイアウト機能へのアクセス」特権のいずれかを持つ認可ユーザーによって悪用されます。ユーザーはこの問題を修正したバージョン4.4.1にアップグレードする必要があります。Xibo SignageでCMSをホストしている顧客は、バージョン4.4、4.3、3.3、2.3、または1.8を使用している場合、修正パッチが適用されています。修正バージョンへのアップグレードが対策として必要です。サポート終了済みの以前のXibo CMSバージョン（3.3、2.3、1.8）にもパッチが提供されています。

BMC Control-M/MFT バージョン 9.0.20 から 9.0.22 にかけて問題が発見されました。MFT API のデバッグインターフェースにおける SQL インジェクションの脆弱性により、認証済みの攻撃者が不適切な入力検証と安全でない動的 SQL 処理を利用して悪意のあるクエリを注入できます。これを悪用すると、任意のファイルの読み書き操作が可能となり、最終的にリモートコードが実行される可能性があります。

モジュール検索を介してSQLインジェクションを可能にする、SQLコマンドで使用される特殊要素の不適切な中和に関する脆弱性です。この問題はPandora FMSのバージョン777から800までに影響を及ぼします。

SQLコマンドで使用される特殊要素が適切に正規化されていないため、カスタムフィールドを介してSQLインジェクションが可能となる脆弱性です。この問題は、Pandora FMSのバージョン777から800に影響を及ぼします。

Chamiloはオープンソースの学習管理システム（LMS）です。バージョン2.0.0-RC.2には、統計のAJAXエンドポイントにSQLインジェクションの脆弱性が存在しました。この脆弱性は、get_user_registration_by_monthアクションでdate_startおよびdate_endパラメータに対して適切なサニタイズが行われなかったことにより引き起こされました。一方、users_activeアクションではこれらのパラメータが未サニタイズのままであり、認証された管理者がこれを悪用してデータベースから任意のデータを抽出できました。この問題はバージョン2.0.0で修正されました。

OpenProjectはオープンソースのウェブベースプロジェクト管理ソフトウェアです。バージョン17.2.3より前のバージョンでは、modules/reporting/lib/report/operator.rbの177行目にある=n演算子が、ユーザー入力をパラメータ化せずに直接SQLのWHERE句に埋め込んでいました。この問題はバージョン17.2.3で修正されました。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20以下には、/de2api/datasetData/enumValueDsおよび/de2api/datasetTree/exportDatasetを含むデータセット関連エンドポイントで使用されるorderDirectionパラメータにSQLインジェクションの脆弱性があります。Order2SQLObjクラスは、生のユーザー提供orderDirection値を検証やホワイトリストの適用なしにSQLクエリに直接割り当てています。その値はStringTemplateを通じてORDER BY句にレンダリングされ、データベースに対して実行されます。認証された攻撃者はソート方向フィールドを介して任意のSQLコマンドを注入でき、時間ベースのブラインドデータ抽出およびサービス拒否を引き起こす可能性があります。この問題はバージョン2.10.21で修正されました。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20およびそれ以前には、/de2api/datasetData/enumValueObjエンドポイントのsortパラメータにSQLインジェクションの脆弱性が存在していました。DatasetDataManageサービス層はユーザーから提供されたsortの値をソートメタデータDTOに直接渡し、それがOrder2SQLObjに渡されます。そして、ホワイトリストによる検証なしにSQLのORDER BY句に組み込まれ、その後CalciteProvider経由で実行されます。認証済みの攻撃者はsortパラメータを通じて任意のSQLコマンドを注入でき、時間ベースのブラインドSQLインジェクションを引き起こす可能性があります。この問題はバージョン2.10.21で修正されました。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20以下にはAPIのデータソース保存処理にSQLインジェクションの脆弱性が存在します。Base64でエンコードされたデータソース設定のdeTableNameフィールドは、テーブル名のサニタイズやエスケープを行わずに単純な文字列置換でDDL文の構築に使用されます。認証済みの攻撃者は、識別子引用から抜け出すようにdeTableNameを巧みに作成することで任意のSQLコマンドを注入でき、MySQLのバージョンなどのデータベース情報を抽出可能なエラー型SQLインジェクションが実現されます。この問題はバージョン2.10.21で修正されました。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20以下には、/datasource/getTableFieldエンドポイントにSQLインジェクションの脆弱性があります。CalciteProvider.javaのgetTableFiledSqlメソッドは、tableNameパラメータをパラメータ化やサニタイズせずにString.formatを使用してSQLクエリ文字列に直接組み込んでいます。DatasourceServer.javaはデータソースにテーブル名が存在することを検証しますが、攻撃者はまず悪意のあるdeTableNameでAPIデータソースを登録し、それがgetTablesで返され検証を通過することで回避できます。認証された攻撃者は任意のSQLコマンドを実行でき、エラーに基づいて機密データベース情報を抽出可能です。この問題はバージョン2.10.21で修正されました。

Group-Officeは企業向けの顧客関係管理およびグループウェアツールです。バージョン6.8.158、25.0.92、および26.0.17より前のバージョンには、JMAPの`Contact/query`エンドポイントに認証済みのSQLインジェクションの脆弱性が存在しました。この脆弱性により、基本的なアドレス帳アクセス権を持つ認証ユーザーであれば誰でもデータベースから任意のデータを抽出できました。これには他のユーザーのアクティブなセッショントークンも含まれていました。この脆弱性の影響で、パスワードを知らなくてもシステム管理者を含む任意のユーザーアカウントを完全に乗っ取ることが可能でした。バージョン6.8.158、25.0.92、および26.0.17でこの問題は修正されています。

Fortinet FortiDDoS-F 7.2.1 から 7.2.2 にかけての SQL コマンドで使用される特殊な要素が不適切に無効化される（SQL インジェクション）の脆弱性により、攻撃者が細工された HTTP リクエストを送信すると、認可されていないコードやコマンドを実行できる可能性があります。

DataEaseはオープンソースのデータ可視化および分析プラットフォームです。バージョン2.10.20およびそれ以前には、/de2api/datasetData/previewSqlエンドポイントにSQLインジェクションの脆弱性があります。ユーザーが提供したSQLは、入力が単一のSELECT文であることを検証せずにサブクエリにラップされます。allowMultiQueries=trueを有効にできるJDBCブロックリスト回避と組み合わさることで、攻撃者はサブクエリから抜け出し、UPDATEなどの書き込み操作を含む任意の複数のSQL文を接続されたデータベースに対して実行できます。有効なデータソース認証情報にアクセスできる認証済み攻撃者は、基盤となるデータベースに対して完全な読み取りおよび書き込みアクセスを取得できます。この問題はバージョン2.10.21で修正されました。

News Website Script 2.0.5には、認証されていない攻撃者がニュースIDパラメータを介してSQLコードを注入し、データベースクエリを操作できるSQLインジェクションの脆弱性があります。攻撃者は悪意のあるSQL文を含むGETリクエストをindex.php/show/news/に送信して、機密データベース情報を抽出できます。

eDirectoryには複数のSQLインジェクションの脆弱性が存在し、認証されていない攻撃者がSQLコードをパラメータに注入することで管理者認証を回避し、機密ファイルを漏洩させる可能性があります。攻撃者はloginエンドポイントのkeyパラメータを利用したユニオンベースのSQLインジェクションを悪用して管理者として認証を行い、その後language_file.phpの認証済みファイル漏洩の脆弱性を利用してサーバー上の任意のPHPファイルを読み取ることができます。

Hydrosystem Control Systemには、ほとんどのスクリプトおよび入力パラメータにわたってSQLインジェクションの脆弱性があります。保護が施されていないため、認証された攻撃者は任意のSQLコマンドを注入でき、データベースを完全に制御する可能性があります。この問題はHydrosystem Control Systemバージョン9.8.5で修正されました。

qdPM 9.1にはSQLインジェクションの脆弱性が存在し、認証されていない攻撃者がfilter_byパラメータを通じてSQLコードを注入し、データベース情報を抽出できます。攻撃者は細工されたfilter_by[CommentCreatedFrom]およびfilter_by[CommentCreatedTo]パラメータを用いてtimeReportエンドポイントに悪意のあるPOSTリクエストを送信し、任意のSQLクエリを実行して機密データを取得することが可能です。