halex CourseSEL HTTP GET パラメータ IndexController.class.php check_sel SQLインジェクション

halex CourseSELのバージョン1.1.0以前に、SQLインジェクションの脆弱性が検出されました。この脆弱性は、ファイルApps/Index/Controller/IndexController.class.php内のcheck_sel関数に存在し、HTTP GETリクエストにおけるseidパラメータの操作によって引き起こされます。攻撃者はこの脆弱性を悪用して、データベース上で悪意のあるSQLコードを実行し、機密データが漏洩、変更、または削除される可能性があります。この脆弱性の深刻度はCVSS 6.3と評価されており、中程度のリスクを示しています。ベンダーがこの公開されている脆弱性の早期開示に対して対応しなかったことは、状況を悪化させ、ユーザーを重大なリスクにさらしています。攻撃が成功した場合、CourseSELデータベースに保存されているデータの整合性と機密性が損なわれる可能性があります。

1. 予約済み2026-04-04
2. 公開日2026-04-05
3. 更新日2026-04-06
4. EPSS 更新日2026-04-12

ベンダーが修正を提供していないため、直近の軽減策は、halex CourseSELを無効にするか、この脆弱性を修正した最新バージョンにアップグレードすることです。アップグレードが不可能な場合は、SQLインジェクションの試行を検出およびブロックできるWebアプリケーションファイアウォール（WAF）などの追加のセキュリティ対策を実装することをお勧めします。さらに、特にGETパラメータなどのすべてのユーザー入力を厳密に検証およびサニタイズすることが重要です。サーバーログを積極的に監視して、疑わしいSQLインジェクションパターンを検出することも、潜在的な攻撃を検出および対応するのに役立ちます。セキュリティ侵害の潜在的な影響を制限するために、ネットワークセグメンテーションを検討してください。