CVE-2019-25703

概要

ImpressCMS 1.3.11 の admin.php エンドポイント に おいて、bid パラメータ を 経由 した 時間 ベース の ブラインド SQL インジェクション 脆弱性 が 存在 します。認証 済み ユーザー が POST リクエスト に SQL コマンド を 含む bid 値 を 送信 する こと で、データベース から 機密 情報 を 抽出 できます。時間 ベース の ブラインド 手法 で は、データベース の 応答 時間 の 差異 を 利用 して 1文字 ずつ データ を 特定 する ため、WAF や IDS に よる 検知 が 困難 で ある 点 が 特徴 です。ImpressCMS は XOOPS から 派生 した オープンソース CMS で あり、コミュニティ サイト や ポータル サイト の 構築 に 利用 されて います。

影響 の 範囲

SQL インジェクション は データベース に 対する 最も 深刻 な 攻撃 の 一つ です。攻撃者 は データベース 内 の 全 テーブル の 読み取り、ユーザー 認証 情報 の 窃取、データ の 改ざん、場合 に よって は データベース サーバー 上 で の コマンド 実行 が 可能 です。本 脆弱性 は レガシー バージョン の ソフトウェア に 存在 し ます が、アップデート されて いない 環境 で は 依然 と して リスク が あります。CMS の 管理 画面 に 存在 する 脆弱性 で ある ため、サイト の コンテンツ 改ざん や ユーザー データ の 漏洩 が 発生 する 可能性 が あります。登録 ユーザー の メール アドレス や パスワード ハッシュ が 窃取 される 恐れ も あります。最新 バージョン へ の 移行 が 推奨 されます。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: 最新 バージョン へ アップデート する こと を 推奨 します

関連 リンク

• NVD — CVE-2019-25703
• VulnCheck Advisory

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。