SQLi – IoT OT Security News

ADOdb PHP Library の脆弱性 CVE-2025-46337 (CVSS 10.0) が FIX：深刻な SQLi の恐れ

Critical SQL Injection Vulnerability Found in ADOdb PHP Library – CVE-2025-46337 (CVSS 10.0)

2025/05/05 SecurityOnline — 世界中で 280万件以上のインストール数を誇る PHP データベースの抽象化ライブラリ ADOdb に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-46337 は、PostgreSQL ドライバの pg_insert_id() メソッドに存在し、脆弱なアプリケーション上での任意の SQL コマンド実行を、攻撃者に許す可能性があるものだ。

Apache Fineract の脆弱性 CVE-2024-32838 (CVSS 9.4) が FIX：深刻な SQLi の恐れ

CVE-2024-32838 (CVSS 9.4): Critical SQL Injection Flaw Threatens Apache Fineract Users

2025/02/13 SecurityOnline — デジタル金融サービスのコア・バンキング・システムの構築に使用される、人気の OSS プラットフォーム Apache Fineract に、深刻なセキュリティ脆弱性が発見された。その脆弱性 CVE-2024-32838 は、金融機関とユーザーに深刻なリスクをもたらすが、Fineract サービスの重要なユーザーである、銀行口座を持たない人々や、銀行口座を十分に利用できない人々に対して、顕著な影響が生じることになる。

Django の脆弱性 CVE-2024-53907／53908 が FIX：DoS／SQLi の可能性

Django Releases Patches for CVE-2024-53907 and CVE-2024-53908 to Mitigate DoS and SQLi Threats

2024/12/05 SecurityOnline — Django に存在するセキュリティ脆弱性 CVE-2024-53907／CVE-2024-53908 が、バージョン 5.1.4／5.0.10／4.2.17 のリリースにより修正された。ユーザーに対して推奨されるのは、最新のセキュリティ・アップデートを、可能な限り早急にインストールすることだ。

VMware HCX の深刻な SQLi の脆弱性 CVE-2024-38814 が FIX：ただちにアップデートを！

VMware fixes high-severity SQL injection flaw CVE-2024-38814 in HCX

2024/10/17 SecurityAffairs — VMWare が公表したのは、HCX アプリケーション・モビリティ・プラットフォームに存在する、リモート・コード実行の脆弱性 CVE-2024-38814 (CVSS：8.8) に関する警告である。管理者権限を持たなくても、認証済みユーザーでありさえすれば、細工された SQL クエリを介して脆弱性 CVE-2024-38814 を悪用し、HCX マネージャーで許可されていないリモート・コード実行を達成する可能性を得る。

Palo Alto Expedition の SQLi 脆弱性 CVE-2024-9465 が FIX：PoC エクスプロイトも提供

CVE-2024-9465 (CVSS 9.2) SQLi Flaw in Palo Alto Expedition Revealed: Full Exploit & PoC Published

2024/10/10 SecurityOnline — Palo Alto Networks の Expedition ツールに存在する深刻な脆弱性 CVE-2024-9465 (CVSS：9.2) が、Horizon3.ai のセキュリティ研究者 Zach Hanley により発見された。この SQL インジェクションの脆弱性の悪用に成功した、認証されていない攻撃者は、Expedition のデータベースに保存されている機密情報へのアクセスが可能になる。そこに含まれるものとしては、ユーザー名／パスワード・ハッシュ／デバイス・コンフィグ／API キーなどがあるため、システム侵害の可能性が生じる。

WordPress TI WooCommerce Wishlist の脆弱性 CVE-2024-43917：パッチは未適用

CVE-2024-43917 (CVSS 9.3): Unpatched SQLi Flaw in TI WooCommerce Wishlist Threatens 100,000+ Sites

2024/09/27 SecurityOnline — 人気の WordPress プラグインである TI WooCommerce Wishlist に、深刻な脆弱性 CVE-2024-43917 (CVSS：9.8) が発見され、100,000 以上のサイトを危険にさらす可能性が生じている。この脆弱性の悪用に成功した攻撃者は、認証なしで任意の SQL クエリを実行できるようになり、影響を受ける Web サイトを完全な制御する権限を、不正に取得する可能性を手にする。

WordPress LearnPress の脆弱性 CVE-2024-8522／8529 が FIX：CVSS 値は 10.0

CVE-2024-8522 & CVE-2024-8529 (CVSS 10): LearnPress SQLi Flaw Leaves 90K+ WordPress Sites at Risk

20224/09/11 SecurityOnline — オンライン・コースの作成／管理ツールとして人気の WordPress LearnPress plugin に、２件の SQL インジェクション脆弱性 CVE-2024-8522／CVE-2024-8529 が発見された。これらの脆弱性は、CVSS スコアが最大値の 10.0 と評価されており、未認証の攻撃者に悪意の SQL クエリを許し、WordPress データベースに保存されている機密情報へのアクセスが生じるという。

ZoneMinder の脆弱性 CVE-2024-43360 が FIX：SQLi にいたる恐れ

CVE-2024-43360: SQLi Flaw Discovered in Popular Surveillance Software ZoneMinder

2024/08/15 SecurityOnline — オープンソースのビデオ監視ソリューションとして広く利用されている ZoneMinder に、SQL インジェクションの脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、機密データへの不正アクセスを達成し、影響を受けるシステムの制御を奪う機会を得るという。

Zendesk Explore の深刻な脆弱性が FIX：GraphQL API で SQL インジェクションが発生

Researchers Reported Critical SQLi and Access Flaws in Zendesk Analytics Service

2011/11/15 TheHackerNews — サイバー・セキュリティ研究者たちが、Zendesk Explore に存在する欠陥 (パッチ適用済み) の詳細を公開した。この脆弱性の悪用に成功した攻撃者は、Explore 機能を ON にした顧客アカウントの情報に、不正にアクセスする可能性があったとされる。