CVE-2026-82421 SQLi in itsourcecode Sales & Inventory System 1.0

脆弱性の重要情報サマリー 脆弱性の概要 脆弱性の名称：ITSOURCECODE 販売・在庫管理システム 1.0 の における パラメータの SQL インジェクション CVE ID：CVE-2026-82421 CVSS スコア：5.7（中程度） 脆弱性のタイプ：SQL インジェクション（SQL Injection） 重要度：Critical（重大） 影響を受けるファイル： トリガー方法：外部コンポーネントからの入力の過不足なフィルタリング/検証により、SQL コマンド構築時に外部入力混入が生じ、SQL インジェクションが発生する。具体的には、 パラメータの値を操作することでトリガーされる。 攻撃ベクトル：リモートでトリガー可能であり、公開されているエクスプロイトが存在する。 CWE 分類：CWE-89（SQL インジェクション） ATT&CK テクニック：T1190（注：原文は T1505 と記載されているため、原文に従う）→ T1505 影響範囲 影響を受ける製品：itsourcecode 販売・在庫管理システム 1.0 影響を受ける関数： 内の不明な関数 影響：攻撃者はリモートで任意の SQL 文を実行でき、システムの機密性、完全性、利用可能性（例：データ漏洩、データ改ざん、サービス停止）に影響を及ぼす可能性がある。 エクスプロイトの難易度：難易度は低く（エクスプロイタビリティ：easy）、公開されたエクスプロイトが存在する。 修正方針 根本原因：SQL コマンドを構築する際、外部コンポーネントからの入力が十分にフィルタリングまたは検証されていない。 修正提案： 1. パラメータに対して厳密な入力検証およびフィルタリングを行う（例：ホワイトリストによる検証、パラメータ化クエリ／プレパードステートメントの活用）。 2. 文字列連結による SQL 構築の代わりに、パラメータ化クエリ（プレパードステートメント）を使用する。 3. 入力に対して型チェックおよび長さ制限を適用する。 4. データベースアカウントの権限を最小化し、SQL インジェクション発生時の影響範囲を制限する。 5. ウェブアプリケーションファイアウォール（WAF）を導入して、補完的な防御を強化する。 POC / エクスプロイトコード ページには具体的な POC コードやエクスプロイトコードブロックは含まれておらず、エクスプロイトが GitHub からダウンロード可能であることや、 で Google ハッキング検索を行うことで脆弱性のあるターゲットを特定できることのみが記載されている。

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-82421 SQLi in itsourcecode Sales & Inventory System 1.0

目標達成すべての支援者に感謝 — 100%達成しました！