CVE-2019-25713

概要

MyT-PM 1.5.1 の /charge/admin エンドポイント に おいて、Charge[group_total] パラメータ を 経由 した SQL インジェクション 脆弱性 が 存在 します。認証 済み ユーザー が POST リクエスト に エラー ベース、時間 ベース ブラインド、または スタックド クエリ の ペイロード を 注入 する こと で、データベース から 機密 情報 を 抽出 または データ を 操作 できます。スタックド クエリ が 利用 可能 な 点 が 特に 危険 で あり、データ の 読み取り だけ でなく INSERT、UPDATE、DELETE 文 に よる データ の 改ざん や 削除 も 実行 可能 です。

影響 の 範囲

SQL インジェクション は データベース に 対する 最も 深刻 な 攻撃 の 一つ です。攻撃者 は データベース 内 の 全 テーブル の 読み取り、ユーザー 認証 情報 の 窃取、データ の 改ざん、場合 に よって は データベース サーバー 上 で の コマンド 実行 が 可能 です。本 脆弱性 は レガシー バージョン の ソフトウェア に 存在 し ます が、アップデート されて いない 環境 で は 依然 と して リスク が あります。プロジェクト 管理 ツール に は タスク 情報、工数 データ、メンバー の アカウント 情報 など が 保存 されて おり、漏洩 や 改ざん に よる 業務 への 影響 は 深刻 です。最新 バージョン へ の 移行 が 推奨 されます。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: 修正 バージョン は 確認 されて いません
• 回避策: WAF の 導入 または 別 の プロジェクト 管理 ツール へ の 移行 を 検討 する

関連 リンク

• NVD — CVE-2019-25713
• VulnCheck Advisory

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。