code-projects Online FIR System Login checklogin.php SQLインジェクション

code-projectsのOnline FIR System 1.0において、SQLインジェクションの脆弱性が検出されました。この脆弱性は、Loginコンポーネントの/Login/checklogin.phpファイル内の不明な機能に影響を与えます。攻撃者は、'email'および'password'引数を操作することでこの脆弱性を悪用し、データベースへの不正アクセス、データの改ざんまたは削除、さらにはサーバー上でのコマンド実行につながる可能性があります。この脆弱性の深刻度はCVSSで7.3と評価されており、重大なリスクを示しています。エクスプロイトが公開されており、容易に悪用できるという事実は、攻撃のリスクをさらに高めています。開発者からの修正が提供されていないため、ユーザーがこの脆弱性を軽減するための迅速な措置を講じることが不可欠です。

Organizations utilizing the Online FIR System for reporting crimes, particularly those relying on version 1.0.0–1.0, are at significant risk. Shared hosting environments where multiple applications share the same database server are also particularly vulnerable, as a successful attack on one application could compromise the entire database.

• php: Examine web server access logs for suspicious requests targeting /Login/checklogin.php with unusual characters in the email or password parameters.

grep -i 'email=[^a-zA-Z0-9@._-]*|password=[^a-zA-Z0-9@._-]*' /var/log/apache2/access.log

• php: Search the codebase for instances of direct SQL queries using user-supplied input without proper sanitization. • generic web: Use a vulnerability scanner to identify SQL injection vulnerabilities in the Online FIR System. • generic web: Monitor network traffic for unusual database queries originating from the Online FIR System server.

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-06
3. EPSS 更新日2026-04-14

code-projectsからの公式な修正（fix）が提供されていないため、このSQLインジェクション脆弱性の軽減には、積極的かつ手動のアプローチが必要です。'email'および'password'フィールドを含む、すべてのユーザー入力を、堅牢なサニタイズおよび検証技術を使用してレビューおよび検証することを強くお勧めします。SQLインジェクションを防ぐための重要なプラクティスとして、パラメータ化されたクエリまたはストアドプロシージャを実装してください。さらに、データベースへのアクセスを必要なユーザーとアカウントのみに制限し、最小特権の原則を適用します。システムログを積極的に監視して、疑わしいアクティビティを検出することも重要です。利用可能な場合は、より安全なソフトウェアバージョンにアップグレードするか、このタイプの攻撃に対して脆弱でない代替ソリューションを検討してください。