全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,332 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 SQLインジェクション 直近1年 の検索結果：761–800 件目を表示（ページ 20）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
itsourcecode School Management System 1.0 に脆弱性が特定されました。この脆弱性は /ramonsys/faculty/index.php ファイルの未知の関数に影響を与えます。引数 ID の操作により SQL インジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトは公開されており、悪用される可能性があります。
LibreNMS 1.46には、MACアカウンティンググラフエンドポイントに認証済みのSQLインジェクションの脆弱性が存在し、リモートの攻撃者がデータベース情報を抽出できる可能性があります。攻撃者は、細工されたSQLインジェクション技術を用いて「sort」パラメータを操作し、時間差盲目SQLインジェクションにより機密データベースの内容を取得します。
SourceCodester Patients Waiting Area Queue Management System 1.0に脆弱性が特定されました。影響を受ける要素は、ファイル/php/api_patient_schedule.phpの不明な関数であり、引数appointmentIDの操作によりSQLインジェクションが発生します。この攻撃はリモートで開始可能です。この脆弱性の悪用コードは公開されており、悪用される可能性があります。
itsourcecode Online Cake Ordering System 1.0 に脆弱性が発見されました。影響を受けるのはファイル /cakeshop/product.php の不明な部分です。引数 Product を操作することで SQL インジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される恐れがあります。
itsourcecode Online Cake Ordering System 1.0 に脆弱性が確認されました。影響を受ける箇所は /updateproduct.php?action=edit ファイル内の不明な関数です。引数 ID の操作により SQL インジェクションが発生します。リモートから攻撃を開始することが可能です。エクスプロイトは公に利用可能で、悪用される可能性があります。
itsourcecode School Management System 1.0にセキュリティ上の欠陥が発見されました。影響を受けるのはファイル/subject/index.php内の不明な関数です。引数IDを操作することでSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に利用される可能性があります。
code-projects Online Music Site 1.0に脆弱性が特定されました。この脆弱性はファイル/Administrator/PHP/AdminEditUser.phpの不特定の関数に影響を与えます。引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に悪用される可能性があります。
code-projects Online Music Site 1.0 にセキュリティ脆弱性が検出されました。この脆弱性は /Administrator/PHP/AdminReply.php ファイルの特定の関数に影響します。引数 ID の操作により SQL インジェクションが発生し、リモートから攻撃を実行できます。エクスプロイトが公開されており、悪用される可能性があります。
itsourcecode Society Management System 1.0 に脆弱性が確認されました。この脆弱性は /admin/edit_expenses_query.php ファイルの不明な機能に影響を及ぼします。引数 detail を操作することで SQL インジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。脆弱性の悪用方法は公開されており、攻撃に利用される恐れがあります。
itsourcecode Society Management System 1.0 にセキュリティ脆弱性が検出されました。この問題の影響を受けるのは /admin/add_expenses.php ファイルの一部の不明な機能です。引数 detail の操作により SQL インジェクションが発生します。この脆弱性はリモートから攻撃が可能です。このエクスプロイトは公開されており、悪用される可能性があります。
itsourcecode Society Management System 1.0に脆弱性が検出されました。影響を受けるファイルは/admin/edit_student_query.phpの特定の部分です。引数student_idの操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは現在公開されており、悪用される可能性があります。
WeGIAは慈善団体向けのウェブ管理システムです。バージョン3.6.2以前において、Atendido_ocorrenciaControleエンドポイントのid_memorandoパラメータを介した認証済みSQLインジェクションの脆弱性が確認されました。この脆弱性により、データベース全体の情報が漏洩し、機密な個人識別情報(PII)が露出し、設定ミスがある環境では任意のファイルを読み取ることが可能になる場合があります。この脆弱性はバージョン3.6.2で修正されています。
XWikiフルカレンダーマクロはウィキのオブジェクトをカレンダーに表示します。バージョン2.4.5以前では、Calendar.JSONServiceページを閲覧する権限を持つユーザー（ゲストユーザーを含む）がSQLインジェクションの脆弱性を悪用し、データベース情報を取得したり、DoS攻撃を開始したりする可能性がありました。この問題はバージョン2.4.5で修正されています。
Abacre Retail Point of Sale バージョン14.0.0.396には、コンテンツベースのブラインドSQLインジェクションの脆弱性が存在します。この脆弱性は、注文ページの検索機能にあります。
LimeSurvey 6.5.14-240624に脆弱性が発見されました。影響を受けるのは、コンポーネントSurvey General Settings Handlerのファイル/index.php?r=admin/database/index/updatesurveylocalesettings_generalsettings内の関数actionUpdateSurveyLocaleSettingsGeneralSettingsです。この関数の引数Languageの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトコードが公開されており、悪用される可能性があります。本問題はバージョン6.6.2+240827へアップグレードすることで解決されます。パッチ名はd656d2c7980b7642560977f4780e64533a68e13dです。影響を受けるコンポーネントはアップグレードしてください。
Limesurvey v2.65.1+170522におけるSQLインジェクションの脆弱性です。この脆弱性により、攻撃者は'/index.php'エンドポイントの'token'パラメータを介してデータベースを取得、作成、更新、削除することが可能になります。
Grocery Crud 1.6.4にはorder_byパラメータにSQLインジェクションの脆弱性があり、リモートの攻撃者がデータベースクエリを操作できます。攻撃者はPOSTリクエストのajax_listエンドポイントにあるorder_by[]パラメータを通じて悪意のあるSQLコードを注入し、データベースの情報を抽出または変更する可能性があります。
db-access WordPressプラグインのバージョン0.8.7までにはAJAXアクションに認可がなく、サブスクライバーなどの認証済みユーザーがSQLインジェクション攻撃を実行できる可能性があります。
寄付用のWordPressプラグインバージョン1.0以前には、SQL文で使用する前にパラメータを適切にサニタイズおよびエスケープしていない脆弱性があります。この脆弱性により、管理者などの高権限ユーザーがSQLインジェクション攻撃を実行できる可能性があります。
このアプリケーションはSQLインジェクション攻撃に対して脆弱であり、攻撃者がPostgreSQLデータベースをダンプしてその内容を読み取ることが可能です。
DwyerOmega Isensix Advanced Remote Monitoring System (ARMS) 1.5.7 は、ログインページの user パラメータを経由したブラインド SQL インジェクションにより、基盤となる SQL データベースから機密情報を取得される可能性があります。これにより、攻撃者は既存のユーザー（および管理者）の認証情報をクリアテキストで盗み出し、それを用いてアプリケーションに認証できるようになります。
AbhishekMali21 GYM-MANAGEMENT-SYSTEM 1.0には、(1) member_search.php、(2) trainer_search.php、(3) gym_search.phpの'name'パラメータおよび(4) payment_search.phpの'id'パラメータに複数のSQLインジェクションの脆弱性があります。認証されていないリモート攻撃者は、これらの脆弱性を悪用して悪意のあるSQLコマンドを注入し、不正なデータ抽出や認証回避、またはデータベース内容の改変を引き起こす可能性があります。
code-projects Online Examination System 1.0 に脆弱性が発見されました。この脆弱性は、コンポーネントのログインページである /index.php ファイルの不明な機能に影響します。User 引数の操作により SQL インジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
Centreon Infra Monitoring（Awieエクスポートモジュール）において、SQLコマンドで使用される特殊要素が適切に無害化されない脆弱性（SQLインジェクション）が存在します。この脆弱性により、認証されていないユーザーがSQLインジェクションを行うことが可能です。この問題は、Infra Monitoringのバージョン25.10.0から25.10.2未満、24.10.0から24.10.3未満、および24.04.0から24.04.3未満に影響します。
JoomSky JS Job Managerにおいて、SQLコマンドで使用される特殊要素の不適切な無害化によりSQLインジェクションの脆弱性が存在し、SQLインジェクション攻撃が可能となっています。この問題はJS Job Managerのバージョンn/aから2.0.2までに影響を及ぼします。
ClipBucket v5はオープンソースの動画共有プラットフォームです。バージョン5.5.2-#187以下において、攻撃者はチャンネル内のコメント追加セクションを通じてブラインドSQLインジェクションを実行できます。チャンネル内でコメントを追加すると、/actions/ajax.phpエンドポイントへのPOSTリクエストが発生します。/actions/ajax.phpへのPOSTリクエスト内のobj_idパラメータは、その後upload/includes/classes/user.class.phpファイルのuser_exists関数の$idパラメータとして使用されます。さらにupload/includes/classes/db.class.phpファイルのcount関数内で使用されます。$idパラメータは検証やサニタイズなしにクエリに連結されており、1'や1=1-- -のようなユーザー提供入力によってインジェクションを引き起こすことが可能です。本問題に対する修正は公開時点で存在していません。
Centreon Infra MonitoringのOpen-tickets（通知ルール構成パラメータおよびOpen ticketsモジュール）において、SQLコマンド内の特殊要素が不適切に無害化されるSQLインジェクション脆弱性が存在します。この脆弱性により、権限昇格したユーザーがSQLインジェクションを実行できる可能性があります。この問題は、Infra Monitoring - Open-ticketsのバージョン24.10.0から24.10.5未満、24.04.0から24.04.5未満、および23.10.0から23.10.4未満のバージョンに影響します。
pss.sale.com 1.0のuserfiles/php/cancel_order.phpエンドポイントにあるidパラメータを通じて発生するSQLインジェクションの脆弱性です。
SQLインジェクションの脆弱性が悪用されると、認証されていないリモートの攻撃者がインターネットに公開されている脆弱なサービス上で任意のSQLコマンドを実行できる可能性があります。
Hyper Data Protectorに影響を与えるSQLインジェクションの脆弱性が報告されています。リモートの攻撃者はこの脆弱性を悪用して、不正なコードやコマンドを実行できます。該当の脆弱性はHyper Data Protector 2.2.4.1以降のバージョンで既に修正されています。
PHPGurukulオンラインコース登録システム（バージョン3.1まで）に脆弱性が確認されました。この脆弱性は、/onlinecourse/admin/manage-students.phpファイル内の特定の関数に影響を与えます。引数idおよびcidの操作によりSQLインジェクション攻撃が発生します。この攻撃はリモートから実行可能です。この脆弱性を利用するための悪用コードが公開されており、悪用される可能性があります。
PHPGurukulオンラインコース登録システム3.1までに脆弱性が発見されました。この脆弱性は/enroll.phpファイルの特定の部分に影響します。引数studentregno、Pincode、session、department、level、course、semの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行される可能性があります。エクスプロイトは公開されており、悪用される恐れがあります。
Repute Info SystemsのARFormsにおいて、SQLコマンドで使用される特殊要素が適切に無効化されていないため、SQLインジェクションの脆弱性が存在します。この問題はARFormsのn/aからバージョン6.4までに影響を及ぼします。
Seeyon Zhiyuan OA Webアプリケーションシステム（バージョン20251223まで）に脆弱性が発見されました。影響を受けるのは、ファイル/assetsGroupReport/fixedAssetsList.j%73p内の不明な関数です。引数unitCodeを操作することによりSQLインジェクションが発生する可能性があります。攻撃はリモートから実行される恐れがあります。この脆弱性の悪用コードが公開されており、実際に利用される可能性があります。ベンダーには早期にこの情報を通知しましたが、現在まで応答がありません。
RainyGao DocSys バージョン 2.02.36 までに、脆弱性が検出されました。影響を受けるのは src/com/DocSystem/mapping/GroupMemberMapper.xml ファイルにある不明な関数であり、引数 searchWord の操作により SQL インジェクションが発生します。この攻撃はリモートから実行可能です。脆弱性のエクスプロイトはすでに公開されており、悪用される恐れがあります。ベンダーには早期にこの情報が通知されましたが、何らかの対応がなされていません。
RainyGao DocSys バージョン 2.02.36 までに脆弱性が発見されました。影響を受ける箇所はファイル src/com/DocSystem/mapping/ReposAuthMapper.xml 内の未知の関数です。引数 searchWord に対する操作を実行することで SQL インジェクションが発生する可能性があります。この攻撃はリモートで実行可能です。エクスプロイトコードが公開されており、悪用される恐れがあります。ベンダーには早期に報告されましたが、現在までに応答はありません。
RainyGao DocSys バージョン 2.02.37 までに脆弱性が発見されました。この脆弱性は com/DocSystem/mapping/UserMapper.xml ファイルの不明な関数に影響します。引数 Username の操作によりSQLインジェクションが発生します。攻撃はリモートで実行可能です。このエクスプロイトは公開されており、悪用される可能性があります。ベンダーには早期に通知されましたが、対応は行われていません。
guchengwuyue yshopmall バージョン1.9.1までに脆弱性が確認されました。影響を受けるのは /api/jobs ファイルの getPage 関数です。引数 sort の操作によりSQLインジェクションが発生します。この攻撃はリモートから開始される可能性があります。エクスプロイトは公開されており、利用される可能性があります。プロジェクト側には問題が早期にイシュー報告を通じて通知されましたが、まだ対応されていません。
edu Business Solutions Print Shop Pro WebDesk バージョン 18.34 の /PSP/appNET/Store/CartV12.aspx/GetUnitPrice エンドポイントにある hfInventoryDistFormID パラメータに SQL インジェクションの脆弱性があります。適切なパラメータ化やエスケープ処理がなされていないため、ユーザーからの入力がそのまま SQL クエリに組み込まれています。この脆弱性により、リモートの攻撃者が任意の SQL コマンドを実行できます。
InvoicePlane 1.6.3までのバージョンにおいて、「maxQuantity」と「minQuantity」パラメータにSQLインジェクションの脆弱性が特定されました。この脆弱性はレポート生成時に発生し、認証済みの攻撃者がエラーベースのSQLインジェクションを介して任意のデータベースデータを抽出できる状態を引き起こします。この脆弱性はシングルクォートの適切なサニタイズが不十分であることに起因しています。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,332件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。