code-projects Accounting System Parameter view_costumer.php SQLインジェクション (SQL Injection)

Code-Projects Accounting System バージョン 1.0 に、SQL インジェクションの脆弱性が検出されました。この脆弱性は、ファイル /viewcostumer.php 内の不明な機能、特に 'Parameter Handler' コンポーネントに影響を与えます。攻撃者は、'cosid' 引数を操作して、悪意のある SQL コードを挿入できます。この脆弱性の悪用はリモートで行われ、攻撃者はネットワークアクセスを持つ場所から脆弱性を悪用できます。脆弱性の深刻度は CVSS スケールで 7.3 と評価されており、重大なリスクを示しています。最も懸念されるのは、このエクスプロイトが現在公開されており、悪意のある攻撃者が容易に利用できることです。これにより、機密性の高い顧客データが公開されたり、会計記録が変更されたり、最悪の場合、会計システム全体が制御されてしまう可能性があります。

Small and medium-sized businesses (SMBs) relying on code-projects Accounting System version 1.0 for their financial management are particularly at risk. Organizations with limited security resources or those who haven't implemented robust input validation practices are also more vulnerable. Shared hosting environments where multiple users share the same server instance could experience cross-tenant exploitation if one user's account is compromised.

• php: Examine access logs for requests to /viewcostumer.php with unusual or malformed cosid parameters. Use grep to search for SQL keywords (e.g., SELECT, UNION, INSERT) within these requests.

grep 'SELECT|UNION|INSERT' /var/log/apache2/access.log | grep /view_costumer.php

• generic web: Use curl to test the /view_costumer.php endpoint with various SQL injection payloads to observe the application's response. Look for error messages or unexpected behavior.

curl 'http://example.com/view_costumer.php?cos_id=1' 2>&1 | grep -i error

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-29
3. 更新日2026-03-30
4. EPSS 更新日2026-04-04

現在、Code-Projects からこの脆弱性に対する公式な修正 (fix) は提供されていません。最も直接的な軽減策は、ソリューションが実装されるまで /view_costumer.php 内の脆弱な機能を一時的に無効にすることです。Code-Projects に連絡してセキュリティアップデートを要求することを強くお勧めします。その間、追加のセキュリティ対策を講じることができます。例えば、すべてのユーザー入力の厳格な検証とサニタイズ、Web Application Firewall (WAF) の実装、データベースの権限の制限などです。システムログを積極的に監視して、不審な活動がないか確認することも重要です。公式な修正がないため、積極的な対応と継続的なリスク評価が必要です。