全国公的データラボ読み込み中…
読み込んでいます…
脆弱性情報（JVN）
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 294,721 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 SQLインジェクション 直近3年 の検索結果：761–800 件目を表示（ページ 20）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
FeMiner wmsのバージョン9cad1f1b179a98b9547fd003c23b07c7594775faまでにセキュリティ脆弱性が検出されました。この脆弱性はファイル/src/chkuser.phpの特定の機能に影響を及ぼします。引数Usernameの操作によりSQLインジェクションが発生します。攻撃はリモートから実行可能です。この攻撃手法は公開されており、悪用される可能性があります。本製品はローリングリリース戦略を採用して継続的に提供されているため、影響を受けるおよび更新されたリリースのバージョン詳細を特定できません。この開示についてベンダーには早期に連絡がなされましたが、何らかの対応はされていません。
itsourcecode Online Frozen Foods Ordering System 1.0に脆弱性が確認されました。この問題は/order_online.phpファイルの特定の処理に影響します。引数product_nameを操作するとSQLインジェクションを引き起こす可能性があります。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に悪用される恐れがあります。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0以前には、カテゴリ削除に関するSQLインジェクションの脆弱性が存在しており、カテゴリ管理ワークフローへのアクセス権を持つ攻撃者がカテゴリIDを介してSQLを注入することが可能でした。この問題はバージョン1.33.0で修正されました。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0以前では、不安全なリテラル置換によりIN (...)リストに関するkarmaクエリにSQLインジェクションのリスクが存在していました。この問題はバージョン1.33.0で修正されました。
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全294,721件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0以前では、バグのサブスクリプション削除機能にSQLインジェクションの脆弱性が存在し、攻撃者が細工されたメール値を介してSQLを注入する可能性がありました。この問題はバージョン1.33.0で修正されました。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0以前には、apidocキューへの挿入処理でSQLインジェクションの脆弱性がありました。この脆弱性により、攻撃者が挿入されるファイル名の値を操作できた場合、クエリの不正操作が許可されてしまう可能性がありました。この問題はバージョン1.33.0で修正されています。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0より前では、user::maintains()において、ロールフィルターが配列として提供され、IN (...)句に埋め込まれた場合にSQLインジェクションの脆弱性が発生する可能性がありました。この問題はバージョン1.33.0で修正されました。
PEARは再利用可能なPHPコンポーネントのためのフレームワークおよび配布システムです。バージョン1.33.0以前の/get/package/versionエンドポイントには認証なしでSQLインジェクションの脆弱性が存在しており、リモートの攻撃者が細工されたパッケージバージョンを介して任意のSQLを実行できる可能性がありました。この問題はバージョン1.33.0で修正されました。
itsourcecode Society Management System 1.0に脆弱性が検出されました。影響を受けるのはファイル /admin/add_activity.php の未特定の関数であり、引数Titleの操作によりSQLインジェクションが発生します。攻撃はリモートで実行可能です。現在、公開されているエクスプロイトが存在し、悪用される可能性があります。
itsourcecode Society Management System 1.0に脆弱性が発見されました。影響を受ける要素は、ファイル/admin/delete_activity.phpの不明な関数です。引数activity_idの操作によりSQLインジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
6.0.2 より前の 6.0、5.2.11 より前の 5.2、および 4.2.28 より前の 4.2 に問題が発見されました。PostGIS 上でのみ実装されている “RasterField” のラスター検索は、バンドインデックスパラメータを通じてリモートの攻撃者による SQL インジェクションを可能にします。以前のサポートされていない Django シリーズ（例えば 5.0.x、4.1.x、3.2.x）も評価されておらず、影響を受ける可能性があります。Django はこの問題を報告した Tarek Nakkouch に感謝しています。
6.0より前の6.0.2、5.2より前の5.2.11、および4.2より前の4.2.28で問題が発見されました。`FilteredRelation`は、`QuerySet`メソッドの`annotate()`、`aggregate()`、`extra()`、`values()`、`values_list()`、および`alias()`に渡される`**kwargs`として辞書展開を伴う適切に細工された辞書を使用した場合、カラムエイリアスにおける制御文字を通じてSQLインジェクションの影響を受ける可能性があります。以前にサポートされていなかったDjangoシリーズ（例えば5.0.x、4.1.x、および3.2.x）については評価されておらず、これらも影響を受ける可能性があります。Djangoチームは本問題を報告したSolomon Kebedeに感謝しています。
6.0.2より前の6.0、5.2.11より前の5.2、および4.2.28より前の4.2に問題が発見されました。`QuerySet.order_by()`は、適切に作成された辞書を辞書展開で使用した場合に、同じエイリアスが`FilteredRelation`と共に使われる際、ピリオドを含むカラムエイリアスにSQLインジェクションの脆弱性が発生します。以前のサポートされていないDjangoシリーズ（例えば5.0.x、4.1.x、3.2.x）については評価されておらず、影響を受ける可能性があります。Djangoはこの問題を報告してくれたSolomon Kebede氏に感謝しています。
Tarkov Data ManagerはTarkovのアイテムデータを管理するツールです。commit 9bdb3a75a98a7047b6d70144eb1da1655d6992a8以前のバージョンには、webhookの編集およびスキャナーAPIエンドポイントにタイムベースのブラインドSQLインジェクションの脆弱性が存在しており、認証された攻撃者がMySQLデータベースに対して任意のSQLクエリを実行できる可能性がありました。commit 9bdb3a75a98a7047b6d70144eb1da1655d6992a8には、この脆弱性に対する修正が含まれています。
Dell Unisphere for PowerMax バージョン10.2.0.xには、SQLコマンドで使用される特殊要素の不適切な無効化に起因するSQLインジェクションの脆弱性があります。この脆弱性を悪用されると、リモートアクセス権限を持つ低権限の攻撃者が任意のコマンドを実行する可能性があります。
code-projects Mobile Shop Management System 1.0 には、userid パラメータを介した /insertmessage.php で SQL インジェクションの脆弱性が存在します。
code-projects Mobile Shop Management System 1.0 の /ExLogin.php において、Password パラメータを介してSQLインジェクションの脆弱性が存在します。
itsourcecode School Management System 1.0に脆弱性が特定されました。影響を受ける要素はファイル/course/index.php内の不明な関数です。引数IDを操作するとSQLインジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。このエクスプロイトは公開されており、攻撃に使用される恐れがあります。
itsourcecode School Management System 1.0に脆弱性が確認されました。この脆弱性はファイル/ramonsys/course/controller.phpの特定部分に影響を与えます。引数IDを操作することでSQLインジェクションが発生する可能性があります。この攻撃はリモートから実行可能であり、エクスプロイトが公開されているため攻撃に悪用される恐れがあります。
itsourcecode School Management System 1.0に脆弱性が確認されました。この脆弱性は/ramonsys/inquiry/index.phpファイルの特定の関数に影響します。引数txtsearchの不正操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトが公開されており、悪用される可能性があります。
itsourcecode School Management System 1.0 に脆弱性が特定されました。この脆弱性は /ramonsys/faculty/index.php ファイルの未知の関数に影響を与えます。引数 ID の操作により SQL インジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトは公開されており、悪用される可能性があります。
LibreNMS 1.46には、MACアカウンティンググラフエンドポイントに認証済みのSQLインジェクションの脆弱性が存在し、リモートの攻撃者がデータベース情報を抽出できる可能性があります。攻撃者は、細工されたSQLインジェクション技術を用いて「sort」パラメータを操作し、時間差盲目SQLインジェクションにより機密データベースの内容を取得します。
SourceCodester Patients Waiting Area Queue Management System 1.0に脆弱性が特定されました。影響を受ける要素は、ファイル/php/api_patient_schedule.phpの不明な関数であり、引数appointmentIDの操作によりSQLインジェクションが発生します。この攻撃はリモートで開始可能です。この脆弱性の悪用コードは公開されており、悪用される可能性があります。
itsourcecode Online Cake Ordering System 1.0 に脆弱性が発見されました。影響を受けるのはファイル /cakeshop/product.php の不明な部分です。引数 Product を操作することで SQL インジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、悪用される恐れがあります。
itsourcecode Online Cake Ordering System 1.0 に脆弱性が確認されました。影響を受ける箇所は /updateproduct.php?action=edit ファイル内の不明な関数です。引数 ID の操作により SQL インジェクションが発生します。リモートから攻撃を開始することが可能です。エクスプロイトは公に利用可能で、悪用される可能性があります。
itsourcecode School Management System 1.0にセキュリティ上の欠陥が発見されました。影響を受けるのはファイル/subject/index.php内の不明な関数です。引数IDを操作することでSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に利用される可能性があります。
code-projects Online Music Site 1.0に脆弱性が特定されました。この脆弱性はファイル/Administrator/PHP/AdminEditUser.phpの不特定の関数に影響を与えます。引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトが公開されており、攻撃に悪用される可能性があります。
code-projects Online Music Site 1.0 にセキュリティ脆弱性が検出されました。この脆弱性は /Administrator/PHP/AdminReply.php ファイルの特定の関数に影響します。引数 ID の操作により SQL インジェクションが発生し、リモートから攻撃を実行できます。エクスプロイトが公開されており、悪用される可能性があります。
itsourcecode Society Management System 1.0 に脆弱性が確認されました。この脆弱性は /admin/edit_expenses_query.php ファイルの不明な機能に影響を及ぼします。引数 detail を操作することで SQL インジェクションが発生する可能性があります。この攻撃はリモートから実行可能です。脆弱性の悪用方法は公開されており、攻撃に利用される恐れがあります。
itsourcecode Society Management System 1.0 にセキュリティ脆弱性が検出されました。この問題の影響を受けるのは /admin/add_expenses.php ファイルの一部の不明な機能です。引数 detail の操作により SQL インジェクションが発生します。この脆弱性はリモートから攻撃が可能です。このエクスプロイトは公開されており、悪用される可能性があります。
itsourcecode Society Management System 1.0に脆弱性が検出されました。影響を受けるファイルは/admin/edit_student_query.phpの特定の部分です。引数student_idの操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは現在公開されており、悪用される可能性があります。
WeGIAは慈善団体向けのウェブ管理システムです。バージョン3.6.2以前において、Atendido_ocorrenciaControleエンドポイントのid_memorandoパラメータを介した認証済みSQLインジェクションの脆弱性が確認されました。この脆弱性により、データベース全体の情報が漏洩し、機密な個人識別情報(PII)が露出し、設定ミスがある環境では任意のファイルを読み取ることが可能になる場合があります。この脆弱性はバージョン3.6.2で修正されています。
XWikiフルカレンダーマクロはウィキのオブジェクトをカレンダーに表示します。バージョン2.4.5以前では、Calendar.JSONServiceページを閲覧する権限を持つユーザー（ゲストユーザーを含む）がSQLインジェクションの脆弱性を悪用し、データベース情報を取得したり、DoS攻撃を開始したりする可能性がありました。この問題はバージョン2.4.5で修正されています。
Abacre Retail Point of Sale バージョン14.0.0.396には、コンテンツベースのブラインドSQLインジェクションの脆弱性が存在します。この脆弱性は、注文ページの検索機能にあります。
LimeSurvey 6.5.14-240624に脆弱性が発見されました。影響を受けるのは、コンポーネントSurvey General Settings Handlerのファイル/index.php?r=admin/database/index/updatesurveylocalesettings_generalsettings内の関数actionUpdateSurveyLocaleSettingsGeneralSettingsです。この関数の引数Languageの操作によりSQLインジェクションが発生します。この攻撃はリモートから実行可能です。エクスプロイトコードが公開されており、悪用される可能性があります。本問題はバージョン6.6.2+240827へアップグレードすることで解決されます。パッチ名はd656d2c7980b7642560977f4780e64533a68e13dです。影響を受けるコンポーネントはアップグレードしてください。
Limesurvey v2.65.1+170522におけるSQLインジェクションの脆弱性です。この脆弱性により、攻撃者は'/index.php'エンドポイントの'token'パラメータを介してデータベースを取得、作成、更新、削除することが可能になります。
Grocery Crud 1.6.4にはorder_byパラメータにSQLインジェクションの脆弱性があり、リモートの攻撃者がデータベースクエリを操作できます。攻撃者はPOSTリクエストのajax_listエンドポイントにあるorder_by[]パラメータを通じて悪意のあるSQLコードを注入し、データベースの情報を抽出または変更する可能性があります。
db-access WordPressプラグインのバージョン0.8.7までにはAJAXアクションに認可がなく、サブスクライバーなどの認証済みユーザーがSQLインジェクション攻撃を実行できる可能性があります。
寄付用のWordPressプラグインバージョン1.0以前には、SQL文で使用する前にパラメータを適切にサニタイズおよびエスケープしていない脆弱性があります。この脆弱性により、管理者などの高権限ユーザーがSQLインジェクション攻撃を実行できる可能性があります。
このアプリケーションはSQLインジェクション攻撃に対して脆弱であり、攻撃者がPostgreSQLデータベースをダンプしてその内容を読み取ることが可能です。