全国公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 292,331 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
種別 SQLインジェクション の検索結果：81–120 件目を表示（ページ 3）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
AOS-8およびAOS-10のコマンドラインインターフェースおよび管理プロトコルを通じてアクセス可能ないくつかの基盤サービスコンポーネントにSQLインジェクションの脆弱性があります。管理者権限を持つ認証済み攻撃者は、サニタイズされていないパラメータに細工された入力を注入することでこれらの脆弱性を悪用する可能性があります。悪用に成功すると、攻撃者は基盤となるオペレーティングシステム上で任意のコマンドを実行できる恐れがあります。
Fortinet FortiMail 7.6.0から7.6.3、FortiMail 7.4.0から7.4.5、FortiMail 7.2.0から7.2.8において、SQLコマンドで使用される特殊要素が適切に無害化されていない（SQLインジェクション脆弱性[CWE-89]）ため、認証された権限を持つ攻撃者が特別に細工されたHTTPまたはHTTPSリクエストを通じて、不正なコードやコマンドを実行する可能性があります。
Strapiはオープンソースのヘッドレスコンテンツ管理システムです。4.x系の4.26.1未満のバージョンおよび5.x系の5.33.2未満のバージョンにおいて、Strapi Content-Type Builderの書き込みAPIにデータベースクエリインジェクションの脆弱性が存在しました。認証済みの管理者はcontent typeの作成や変更時に`column.defaultTo`属性を通じて任意のデータベースステートメントを注入可能でした。`defaultTo`をタプル`[value, {isRaw: true}]`として設定すると、値がスキーママイグレーション時にKnexの`db.connection.raw()`へサニタイズなしで直接渡され、データベース層で任意のステートメントが実行されてしまいます。使用しているデータベースエンジンに依存して、この脆弱性によりデータベースユーティリティ関数を使った任意ファイル読み取り、スキーママイグレーションエラー時の強制サーバークラッシュによるサービス拒否、外部プログラム実行が許されているエンジンではデータベースサーバーに対するリモートコード実行が可能となります。4.26.1および5.33.2のパッチでは、Content-Type Builderの書き込みAPIを開発モードのみに制限することでこの問題に対処しました。v5.33.2以降の本番環境では`/content-type-builder/content-types`および関連エンドポイントへのリクエストに対して404を返すため、ネットワークからアクセス可能な攻撃面を完全に排除しています。
CKANは、データハブやデータポータルを支えるオープンソースのDMS（データ管理システム）です。2.10.10および2.11.5より前のバージョンには、datastore_search_sqlに脆弱性が存在し、攻撃者がSQLインジェクションを行うことで、プライベートリソースやPostgreSQLのシステム情報にアクセスできる可能性がありました。この脆弱性は2.10.10および2.11.5で修正されています。
MISPはオープンソースの脅威インテリジェンスおよび共有プラットフォームです。2.5.37以前のバージョンには、イベントおよびシャドウ属性リストのエンドポイントでユーザー制御の並び順パラメータを処理する際にSQLインジェクションの脆弱性が存在していました。影響を受けるコードはリクエストパラメータからorderまたはsortの値を取得し、それらを要求されたフィールド名について十分な検証を行わずにデータベースクエリの並び順句に組み込んでいました。攻撃者は影響を受けるエンドポイントにアクセスすることで、悪意のある並び順パラメータを作成し、生成されるSQLクエリを操作することが可能でした。データベースの権限やクエリのコンテキストによっては、無許可のデータアクセス、クエリの挙動変更、その他のデータベースレベルの影響を引き起こす恐れがありました。この脆弱性は2.5.37で修正されました。
Rocket.Chat のバージョン 8.3.0、8.2.1、8.1.2、8.0.3、7.13.5、7.12.6、7.11.6、および 7.10.9 において、OAuth アプリが設定されている場合に NoSQL インジェクションの脆弱性が存在し、それにより生成されたトークンを持つ最初のユーザーのアカウントが乗っ取られる可能性があります。
SQLコマンドで使用される特殊要素の不適切な無効化により、graph containerパラメータを介してSQLインジェクションが可能になる脆弱性です。この問題はPandora FMSのバージョン777から800に影響を及ぼします。
Genesys Latitude v25.1.0.420には、認証された攻撃者がバックエンドデータベースに対して任意のSQLクエリを実行できるSQLインジェクションの脆弱性があります。この脆弱性は、ユーザーから提供された入力がサニタイズされずにSQL文に直接連結されるために発生します。
ElectricはPostgres同期エンジンです。バージョン1.1.12から1.5.0未満のElectricSQLの/v1/shape APIにおけるorder_byパラメータには、エラーに基づくSQLインジェクションの脆弱性があります。認証された任意のユーザーは細工されたORDER BY式を通じて、基盤となるPostgreSQLデータベースの全内容を読み取り、書き込み、破壊することが可能です。この脆弱性はバージョン1.5.0で修正されました。
PHPのバージョン8.2.*の8.2.31未満、8.3.*の8.3.31未満、8.4.*の8.4.21未満、および8.5.*の8.5.6未満において、PDO FirebirdドライバーはSQLクエリの準備時にNULバイトを不適切に処理します。トークンごとのクエリ構築中に、NULバイトを含む文字列トークンがstrncat()を通じてコピーされますが、strncat()はNULバイトで停止し、終了クオートを削除します。その結果、以降のSQLトークンが文字列の一部として誤って解釈されます。これにより、攻撃者が制御する値がPDO::quote()で引用されてSQL文に埋め込まれた場合、SQLインジェクションが発生する可能性があります。
NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載ノーコード/ローコードプラットフォームです。バージョン2.0.39より前のコアデータベースパッケージにおいて、queryParentSQL()関数はパラメータ化されたクエリを使用せず、文字列連結でnodeIdsを結合し再帰的なCTEクエリを構築していました。nodeIds配列にはデータベースの行から読み取られた主キー値が含まれています。悪意のある文字列の主キーを持つレコードを作成できる攻撃者は、その後の任意のリクエストが該当コレクションでの再帰的イーガーロードをトリガーした際に任意のSQLをインジェクトできます。この問題はバージョン2.0.39で修正されました。
Digiwinが開発したEasyFlow .NETにはSQLインジェクションの脆弱性があります。この脆弱性により、認証されていないリモート攻撃者が任意のSQLコマンドを注入し、データベースの内容を読み取り、変更し、削除することが可能です。
Digiwinによって開発されたEasyFlow .NETにはSQLインジェクションの脆弱性が存在し、認証されていないリモートの攻撃者が任意のSQLコマンドを注入して、データベースの内容を読み取り、変更し、削除することが可能です。
Sunnetが開発したCTMSにはSQLインジェクションの脆弱性があり、認証されたリモート攻撃者が任意のSQLコマンドを注入してデータベースの内容を読み取り、変更および削除できます。
Ivanti Endpoint Managerのバージョン2024 SU6以前のWebコンソールにおけるSQLインジェクションの脆弱性により、リモートの認証済み攻撃者がリモートコードを実行できる可能性があります。
IBM Langflow Desktop 1.6.0 から 1.8.4 までの Langflow は、永続的なクロスサイトスクリプティングに対して脆弱です。この脆弱性により、認証されたユーザーが任意のJavaScriptコードをWeb UIに埋め込むことが可能になり、本来の機能を変更し、信頼されたセッション内で資格情報が漏洩する可能性があります。
V2Boardバージョン1.7.4以前には、ORDER BY句を介したSQLインジェクションの脆弱性があります。app/Http/Controllers/Admin/UserController.phpにて、ユーザー入力のsortパラメータが検証なしにUser::orderBy($sort, $sortType)に直接渡されます。認証された管理者はパスワードやremember_tokenなどの機密フィールドを含む任意のデータベースカラムでユーザーをソートでき、その結果、並べ替え分析を通じて情報漏洩が発生する可能性があります。
`FilterEngine.create_sqla_query()` におけるSQLインジェクション脆弱性により、認証済みの任意のRucioユーザーがDID検索エンドポイント（`GET /dids/scope/dids/search`）を介してバックエンドデータベースに対して任意のSQLを実行できます。Oracle環境では攻撃者が制御するフィルターキーと値がPythonの `.format()` によって `sqlalchemy.text()` に直接挿入され、パラメータ化を完全にバイパスします。これにより認証トークン、パスワードハッシュ、すべての管理データ識別子の抽出を含むデータベース全体の完全な侵害が可能となります。本脆弱性はバージョン1.27.0以降から35.8.5、38.5.5、39.4.2、40.1.1より前のバージョンに影響します。脆弱性は `lib/rucio/core/did_meta_plugins/filter_engine.py` の `create_sqla_query()` メソッドに存在し、データベース方言がOracleの場合、JSONメタデータカラムのフィルター式がPython文字列フォーマットを用いた `text()` によって構築されます。`key` と `value` はHTTPクエリパラメータに由来する攻撃者制御の文字列であり、`text()` は内容のエスケープやパラメータ化を行わない生のSQLフラグメントを生成します。認証済みの任意のRucioユーザーはDID検索APIを介してこれを悪用でき、バックエンドデータベースに対して任意のSQLを実行可能で、すべての管理データ識別子および識別子、トークン、アカウント、rse_settings、ルールなどの機密テーブルの情報漏洩やデータベース内容の変更を引き起こす可能性があります。本問題はデフォルトのjson_metaプラグインを使用するOracle環境に影響し、PostgreSQLやMySQL環境には影響しません。本脆弱性はバージョン35.8.5、38.5.5、39.4.2、40.1.1で修正されています。
Rucioのバージョン1.30.0以降において、35.8.5、38.5.5、39.4.2、40.1.1の各バージョンより前のリリースに、FilterEngine.create_postgres_query()にSQLインジェクションの脆弱性が存在します。この脆弱性により、認証された任意のRucioユーザーがDID検索エンドポイント（GET /dids/scope/dids/search）を通じてPostgreSQLのメタデータデータベースに任意のSQLを実行可能です。postgres_metaメタデータプラグインが設定されている場合、攻撃者が制御するフィルターのキーと値がPythonの.format()を介して直接生のSQL文字列に挿入され、その後psycopg3のsql.SQL()に渡されて信頼されたSQL構文として処理されます。サービスアカウントに割り当てられたデータベース特権によっては、脆弱性を悪用することで機密テーブルの露出、メタデータの修正や削除、サーバー側ファイルへのアクセス、またはCOPY ... FROM PROGRAMのようなPostgreSQLの機能を通じてコード実行が可能になる場合があります。この問題は明示的にpostgres_metaメタデータプラグインを使用している展開に影響します。この脆弱性はバージョン35.8.5、38.5.5、39.4.2、40.1.1で修正されています。
SQLBotは、大規模言語モデルとRAGに基づくインテリジェントなText-to-SQLシステムです。バージョン1.7.0およびそれ以前のバージョンでは、Text2SQLチャットインターフェースがプロンプトインジェクションに対して脆弱でした。ユーザーが提供したquestionパラメータはフィルタリングやエスケープ処理なしに直接LLMプロンプトに連結され、LLMの応答から抽出されたSQLは検証やサニタイズなしにデータベースで実行されます。認証された攻撃者は悪意のある質問を作成し、LLMを操作して任意のSQL文を生成および実行させることが可能です。PostgreSQLデータソースに接続している場合、これはCOPY FROM PROGRAMを介したリモートコード実行につながる可能性があります。この問題はバージョン1.7.1で修正されました。
Kestra v1.3.3以前にはSQLインジェクションの脆弱性が存在します。この脆弱性は、ユーザーが制御するGETパラメータの入力が適切に検証されず、パラメータ化もされないまま直接SQLクエリに連結されるために発生します。その結果、攻撃者は任意のSQL式をデータベースクエリに注入できるようになります。
PraisonAIはマルチエージェントチームシステムです。praisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9以前では、SQLiteConversationStoreにのみ入力検証が追加されていましたが、MySQL、PostgreSQL、非同期SQLite/MySQL/PostgreSQL、Turso、SingleStore、Supabase、SurrealDBの9つの姉妹バックエンドはtable_prefixをそのままf文字列SQLに渡していました。同一の根本原因、コードパターン、および悪用方法が存在し、コードベース全体で52の未検証インジェクションポイントがありました。postgres.pyはさらにDDLに直接使用される未検証のスキーマパラメータも受け入れていました。この問題はpraisonaiバージョン4.6.9およびpraisonaiagentsバージョン1.6.9で修正されました。
OpenC3 COSMOSは、1つまたは複数の組み込みシステムにコマンドを送信し、データを受信するための機能を提供します。バージョン6.7.0から7.0.0-rc3未満の間、COSMOSの時系列データベース（TSDB）コンポーネントにSQLインジェクションの脆弱性が存在していました。cvt_model.rbファイルのtsdb_lookup関数は、ユーザーから提供された入力をサニタイズせずに直接SQLクエリに埋め込んでいます。その結果、ユーザーは初期のSQL文から抜け出し、任意のSQLコマンドを実行でき、データの削除なども可能になります。この問題はバージョン7.0.0-rc3で修正されました。
LiteLLMは、OpenAI（またはネイティブ）形式のLLM APIを呼び出すプロキシサーバー（AIゲートウェイ）です。バージョン1.81.16から1.83.7未満の間、プロキシのAPIキー確認時に使用されるデータベースクエリで、呼び出し元が提供したキーの値が別のパラメータとして渡されずにクエリテキストに混入していました。認証されていない攻撃者が特別に細工したAuthorizationヘッダーを任意のLLM APIルート（例えばPOST /chat/completions）に送信し、プロキシのエラーハンドリング経路を介してこのクエリに到達することが可能でした。攻撃者はプロキシのデータベースからデータを読み取ることができ、場合によってはこれを改ざんすることもできました。これにより、プロキシおよび管理している資格情報への不正アクセスが発生する恐れがありました。この問題はバージョン1.83.7で修正されています。
PraisonAIはマルチエージェントチームシステムです。バージョン2.4.1からバージョン4.6.34未満まで、PraisonAIはオプションのSQL/CQL対応の知識ストア実装を公開しており、検証されていないnameおよびcollection引数からテーブルおよびインデックス識別子を構築していました。これらのバックエンドに信頼されていないコレクション名を渡すアプリケーションは、SQLまたはCQLインジェクションを引き起こす可能性があります。この問題はバージョン4.6.34で修正されました。
Nefteprodukttekhnika BUK TS-G ガソリンスタンド自動化システム 2.9.1（Linux版）には、システム構成モジュールにSQLインジェクションの脆弱性（CWE-89）が存在します。リモートの攻撃者は、application/x-www-form-urlencoded形式のデータ内のsqlパラメータ（例：action=do&sql=query_here&reload_driver=0）を介して、/php/request.phpエンドポイントに特別に細工されたHTTP POSTリクエストを送信することで、任意のSQLコマンドを実行し、潜在的にリモートコードを実行する可能性があります。
認証済みのSQLインジェクションの脆弱性（CWE-89）が、Kohaのスタッフインターフェースの/cgi-bin/koha/suggestion/suggestion.plエンドポイントに存在しています。この脆弱性は、GetDistinctValues機能で使用されるdisplaybyパラメータの不適切な検証に起因します。権限の低いスタッフユーザーは、このパラメータに細工されたリクエストを送信することで任意のSQLクエリを注入でき、意図しないSQL文を実行し、機密データベース情報が漏洩する可能性があります。攻撃が成功すると、バックエンドデータベースの完全な乗っ取りや、保存されたデータの開示・改ざんが引き起こされる可能性があります。
SQL ServerにおけるSQLコマンドで使用される特殊要素の不適切な無効化（『SQLインジェクション』）により、認可された攻撃者がローカルで権限を昇格させることが可能になります。
SQL Server における SQL コマンドで使用される特殊な要素が不適切に無害化される（「SQL インジェクション」）ことで、認可された攻撃者がローカルで権限を昇格させることが可能になります。
NocoBaseは、ビジネスアプリケーションやエンタープライズソリューションを構築するためのAI搭載のノーコード/ローコードプラットフォームです。バージョン2.0.39以前では、危険なSQLキーワード（例：pg_read_file、LOAD_FILE、dblink）をブロックするcheckSQL()検証関数がcollections:createおよびsqlCollection:executeエンドポイントに適用されていましたが、sqlCollection:updateエンドポイントには適用されていませんでした。コレクション管理権限を持つ攻撃者は、無害なSQLでSQLコレクションを作成し、その後任意のSQLに更新してすべての検証を回避できました。その結果、コレクションをクエリして注入したSQLを実行し、データを漏洩させる可能性がありました。この問題はバージョン2.0.39で修正されました。
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1以前には、SeaTableノードのrow:searchおよびrow:get操作において、ユーザー制御の入力がエスケープやパラメータ化されずに直接SQLクエリ文字列に連結される脆弱性が存在していました。外部ユーザーの入力が式を介してSeaTableノードの検索または行取得パラメータに渡されるワークフローでは、攻撃者が構築されたクエリを操作して、意図しない行を接続されたSeaTableベースから取得し、ワークフローに実装された行レベルのフィルタリングロジックを回避する可能性がありました。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1より前のバージョンにおいて、Oracle Databaseノードのselect操作に脆弱性が存在していました。この脆弱性は、Limitフィールドに式を介して渡されるユーザー制御の入力が、サニタイズやパラメータ化されることなく直接SQLクエリに埋め込まれてしまうものでした。Webhookなどの外部入力がLimitフィールドに渡されるワークフローにおいて、攻撃者は任意のSQLを注入し、接続されたOracleデータベースからデータを不正に持ち出す可能性がありました。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1より前のバージョンでは、GHSA-f3f2-mcxc-pwjxの修正がSnowflakeノードおよびレガシーMySQL v1ノードに適用されていませんでした。これらのノードは、ユーザーが制御するテーブル名、カラム名、および更新キーを識別子のエスケープなしで直接クエリ文字列に埋め込むことでSQLクエリを構築しており、その結果、接続されたデータベースに対するSQLインジェクションを可能にしていました。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。
Song-Li cross_browserのca690f0fe6954fd9bcda36d071b68ed8682a786aまでに脆弱性が発見されました。この脆弱性はコンポーネントdetailsのEndpointであるflask/uniquemachine_app.pyファイルの特定の部分に影響します。引数IDの操作によりSQLインジェクションが発生します。この攻撃はリモートで実行可能です。エクスプロイトは公開されており、悪用される可能性があります。本製品は継続的な配信のためローリングリリースが実装されているため、影響を受けるまたは更新されたリリースのバージョン情報は利用できません。ベンダーには早期に本公開について連絡しましたが、対応はありませんでした。
ByteDance coze-studio バージョン0.5.1までに脆弱性が検出されました。この脆弱性は、コンポーネント databaseTool のファイル backend/domain/memory/database/service/database_impl.go 内の ExecuteSQL 関数に影響を与えます。不正な操作を行うと SQL インジェクションが発生します。攻撃はリモートから開始可能です。エクスプロイトは既に公開されており、悪用される可能性があります。ベンダーには早期に開示の連絡を行いましたが、応答はありませんでした。
Spring AIの`CosmosDBVectorStore`にはSQLインジェクションの脆弱性が存在し、攻撃者が細工されたドキュメントIDを利用して任意のSQLクエリを実行できる可能性があります。この脆弱性はSpring AIのバージョン1.0.0から1.0.5および1.1.0から1.1.4に影響を与え、それぞれバージョン1.0.6と1.1.5で修正されています。
DovecotのSQLベースの認証は、管理者がauth_username_charsをクリアすると回避される可能性があります。この脆弱性によって、任意のユーザーの認証を回避したり、ユーザーの列挙を行ったりすることが可能になります。auth_username_charsをクリアしないでください。もしそれが不可能な場合は、最新の修正バージョンをインストールしてください。公に利用可能なエクスプロイトは確認されていません。
Xiboは、ウェブコンテンツ管理システムとWindows表示プレイヤーソフトウェアを備えたオープンソースのデジタルサイネージプラットフォームです。バージョン1.7から4.4.0までに、データセットのフィルタリングを担当するCMS内のAPIルートにSQLインジェクションの脆弱性が存在します。これにより、認証済みユーザーが特別に細工された値をAPIのフィルターパラメーターに注入することで、Xiboデータベースから任意のデータを取得および変更できます。この脆弱性は、「データセット機能へのアクセス」特権または「レイアウト機能へのアクセス」特権のいずれかを持つ認可ユーザーによって悪用されます。ユーザーはこの問題を修正したバージョン4.4.1にアップグレードする必要があります。Xibo SignageでCMSをホストしている顧客は、バージョン4.4、4.3、3.3、2.3、または1.8を使用している場合、修正パッチが適用されています。修正バージョンへのアップグレードが対策として必要です。サポート終了済みの以前のXibo CMSバージョン（3.3、2.3、1.8）にもパッチが提供されています。
Roxy-WIはHaproxy、Nginx、Apache、Keepalivedサーバーを管理するためのウェブインターフェースです。バージョン8.2.6.4以前には、app/routes/config/routes.pyのhaproxy_section_save関数にSQLインジェクションの脆弱性が存在します。URLパスから取得されるserver_ipパラメータは複数の関数呼び出しを経て未サニタイズのまま渡され、最終的にPythonの文字列フォーマットを用いてSQLクエリ文字列に埋め込まれるため、攻撃者が任意のSQLコマンドを実行できます。この問題はバージョン8.2.6.4で修正されています。
SocialEngine バージョン 7.8.0 以前には、/activity/index/get-memberall エンドポイントに SQL インジェクションの脆弱性が存在します。これは、text パラメータを介してユーザーが提供する入力が SQL クエリに取り込まれる前に適切にサニタイズされていないためです。認証されていないリモート攻撃者は、この脆弱性を悪用してデータベースから任意のデータを読み取ったり、管理者アカウントのパスワードをリセットしたり、管理パネルのパッケージマネージャに不正アクセスしたりできます。また、遠隔コード実行を引き起こす可能性もあります。
脆弱性情報（JVN） よくある質問
脆弱性を製品名やベンダ名で検索できますか？
はい。製品・ベンダ・脆弱性タイプ（CWE）で全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順に表示します。
CVSS（深刻度）とは何ですか？
脆弱性の深刻さを0〜10で表す共通指標です。数値が大きいほど影響が大きく、緊急・重要・警告・注意などの区分で絞り込めます。
影響を受ける製品やベンダ企業は分かりますか？
各脆弱性の詳細ページで、影響を受ける製品・ベンダを確認できます。ベンダ名は法人検索と突き合わせて企業情報もたどれます。
情報の出典を教えてください。
JVN（IPA〔情報処理推進機構〕・JPCERT/CC 提供）の公開情報を収録しています。対応の要否は必ず各JVN詳細・公式情報でご確認ください。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全292,331件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。