SQL Injection in SourceCoder Simple Online Food Ordering System via admin/ajax.php (CVE-2026-76998)

CVE-2026-76998 による Simple Online Food Ordering System における脆弱性 脆弱性の概要 SourceCoder Simple Online Food Ordering System 1.0 にセキュリティ上の脆弱性が検出された。影響を受ける要素は、ファイル 内の未知の関数である。ID パラメータへのこの操作により、SQL インジェクションが発生する。攻撃はリモートで開始できる。この脆弱性を利用するコードは公開されており、実用化されている可能性がある。 影響範囲 SourceCoder Simple Online Food Ordering System バージョン 1.0 の管理画面には、 ファイル内、 操作パラメータを処理する際に現れる重大なセキュリティ脆弱性がある。この脆弱性は SQL インジェクションの弱点として表れ、ID パラメータをデータベース照会文書に反映する際の入力検証とサニタイズ（不浄物除去）が不十分なことに起因する。アプリケーションは、準備済みのステートメントや適切なエスケープ機構を使用せずに、ユーザーが提供するデータを SQL コマンドに直接組み込んでいるため、攻撃者が悪意で構築された HTTP リクエストを介して、バックエンドのデータベース構造や内容を操作できるようにしている。 この特定の SQL インジェクションの例は、一般弱点エニュメーション基準に準拠し、SQL コマンド内の特殊要素を適切に中和しないこと（CWE-89）に分類される。この脆弱性は、バックエンドの AJAX エンドポイント（削除操作を処理するもの）とのインタラクションを必要とするため、管理パネルへのアクセス権限を有する認証済みユーザーによってリモートから利用可能である。リモート利用には通常、未承認のアクセスが必要となるが、この特定のベクトルは、認証が通常必須であるものの、管理画面内で一度認証された後、攻撃者がさらなる制限や追加のセキュリティコントロール（レートリミッティングやアプリケーションロジック層の入力フィルタリングなど）なしに任意の SQL コマンドを実行できることを示している。 この脆弱性の操作的影響は重大であり、多面的である。基本的な SQL 構文知識を有する攻撃者は、以下が可能となる： データベース内のデータを、読み取り、修正、または削除する。 認証メカニズムを迂回する。 権限を昇格する。 任意のコードを実行する。 修正方案 SQL インジェクションを防止するために、準備済みのステートメントや適切なエスケープ機構を使用する。 入力に対して厳格な検証とサニタイズを施す。 レートリミッティングや入力フィルタリングなどの追加のセキュリティコントロールを実装する。

目標達成 すべての支援者に感謝 — 100%達成しました！

SQL Injection in SourceCoder Simple Online Food Ordering System via admin/ajax.php (CVE-2026-76998)

目標達成すべての支援者に感謝 — 100%達成しました！