qdPM 9.1 filter_by パラメータ経由の SQL インジェクション (SQL Injection)

CVE-2018-25208はqdPMに影響を与え、ユーザーをSQLインジェクションのリスクに晒します。この脆弱性を利用すると、認証されていない攻撃者がデータベースから機密情報を抽出できます。攻撃ベクトルは、timeReportエンドポイント内のfilterby[CommentCreatedFrom]およびfilterby[CommentCreatedTo]パラメータに焦点を当てています。攻撃者は、これらのパラメータにSQLコードを注入した悪意のあるPOSTリクエストを送信することで、任意のSQLクエリを実行し、機密データにアクセスできます。この脆弱性を悪用するために認証が不要であるため、ネットワークアクセスを持つ人は誰でもデータベースを侵害する可能性があります。CVSSスコアの8.2は高いリスクを示しており、迅速な対応が必要です。公式な修正プログラム（fix: none）が存在しないことは状況を悪化させ、緩和策が実装されるまでユーザーを脆弱な状態に置きます。

Organizations deploying qdPM version 9.1 are at direct risk. Specifically, environments where the timeReport endpoint is exposed to the internet or accessible to untrusted users are particularly vulnerable. Shared hosting environments utilizing qdPM 9.1 should be considered high-risk due to the potential for cross-tenant exploitation.

• php / web:

grep -r "filter_by[CommentCreatedFrom]" /var/www/qdPM/timeReport.php

• generic web:

curl -X POST -d "filter_by[CommentCreatedFrom]='; DROP TABLE users; --" http://your-qdpm-server/timeReport

• generic web: Examine access logs for POST requests to /timeReport with unusual or malformed filter_by parameters. • generic web: Check response headers for SQL errors or unexpected behavior after submitting crafted requests.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-26
2. 公開日2026-03-26
3. EPSS 更新日2026-04-02

CVE-2018-25208に対する公式な修正プログラムがqdPMに存在しないため、緩和策は補完的なセキュリティ対策に焦点を当てます。特にfilterby[CommentCreatedFrom]およびfilterby[CommentCreatedTo]パラメータのすべてのユーザー入力を厳密に検証およびサニタイズすることが重要です。許可された文字のホワイトリストを実装し、予期しない文字を含むすべての入力を拒否することで、SQLインジェクションを防止できます。さらに、動的にSQLクエリを構築する代わりに、パラメータ化されたクエリまたはストアドプロシージャを使用することを強くお勧めします。ネットワークセグメンテーションとデータベース権限の制限も、潜在的な悪用の影響を軽減するのに役立ちます。サーバーログを積極的に監視して、疑わしいSQLインジェクションパターンを早期に検出することが不可欠です。利用可能な場合は、qdPMの最新バージョンにアップグレードするか、この脆弱性を解決する代替ソリューションを検討してください。