itsourcecode Free Hotel Reservation System Parameter login.php sql injection

itsourcecode Free Hotel Reservation System 1.0において、/hotel/admin/login.phpファイルにおけるSQLインジェクションの脆弱性が発見されました。この脆弱性はCVE-2026-5551として特定され、'Parameter Handler'コンポーネントに影響を与え、攻撃者が'email'引数を操作して悪意のあるSQLコードを実行することを可能にします。CVSSスコアは7.3と評価されており、重大なリスクを示しています。エクスプロイトが公開されており、リモートから攻撃を実行できるため、このシステムのユーザーにとって危険性が高まります。SQLインジェクションにより、攻撃者はデータベースの機密情報を不正にアクセス、変更、または削除する可能性があり、ホテル予約システムの完全性と機密性を損なう可能性があります。公式な修正プログラムが提供されていないため、このリスクを軽減するための迅速な対応が必要です。

Small to medium-sized hotels and businesses utilizing the itsourcecode Free Hotel Reservation System, particularly those running older, unpatched versions. Shared hosting environments where multiple customers share the same server infrastructure are also at increased risk, as a compromise of one customer could potentially lead to the compromise of others.

• php / web:

grep -r "email = '.*?'" /hotel/admin/login.php

• php / web:

curl -I http://your-hotel-system.com/hotel/admin/login.php?email='; DROP TABLE users;--

• generic web: Monitor access logs for unusual SQL query patterns or errors related to the database.

1. 2026-04-05Disclosure

   disclosure

1. 予約済み2026-04-04
2. 公開日2026-04-05
3. 更新日2026-04-06
4. EPSS 更新日2026-04-12

CVE-2026-5551に対する公式な修正プログラムがリリースされていないため、直近の軽減策は予防措置に重点を置いています。Free Hotel Reservation System 1.0の管理者は、解決策が実装されるまで、管理ログインページ(/hotel/admin/login.php)へのアクセスを一時的に無効にすることを強くお勧めします。さらに、堅牢なパスワードの使用やアクセス権の制限など、データベースセキュリティポリシーを見直し、強化することが重要です。Webアプリケーションファイアウォール（WAF）を実装することで、悪意のあるトラフィックをフィルタリングし、SQLインジェクション攻撃を防ぐことができます。システムログを継続的に監視し、潜在的な攻撃試行を検出して対応することが不可欠です。システムベンダーに連絡して、アップデートとセキュリティパッチを入手することもお勧めします。