概要
CVE-2026-3790は、SourceCodester Sales and Inventory System 1.0に存在するSQLインジェクションの脆弱性です。この脆弱性は、check_supplier_details.phpファイルのPOSTパラメータハンドラコンポーネントにおけるstock_name1引数の操作によって引き起こされると報告されています。攻撃者はこの脆弱性を悪用することで、リモートからデータベースに対して不正なクエリを実行する可能性があります。
影響範囲
この脆弱性の影響を受けるのは、以下の製品およびバージョンです。
- 製品名: SourceCodester Sales and Inventory System
- バージョン: 1.0
特に、check_supplier_details.phpファイルが使用されている環境が影響を受ける可能性があります。
想定される影響
SQLインジェクションの脆弱性が悪用された場合、以下のような影響が想定されます。
- データベース内の機密情報（顧客データ、販売データなど）の不正な閲覧、漏洩
- データベース内のデータの改ざんや削除
- データベースサーバーへの不正なアクセス、さらにはシステム全体の乗っ取りにつながる可能性
攻撃成立条件・悪用状況
この脆弱性は、リモートからの攻撃が可能であると報告されています。stock_name1引数を操作することでSQLインジェクションが実行されるとされています。また、既にエクスプロイトコードが公開されており、悪用される可能性があるため、注意が必要です。
推奨対策
優先度：高（今すぐできる対策）
- ベンダーからの情報収集とパッチ適用: SourceCodesterから公式の修正パッチやアップデートが提供され次第、速やかに適用することを強く推奨します。
- アクセス制限の強化: システムをインターネットに直接公開している場合は、不必要なネットワークからのアクセスを制限し、信頼できるIPアドレスのみにアクセスを許可するなどの対策を検討してください。
優先度：中（中長期的な対策）
- WAF (Web Application Firewall) の導入・設定: SQLインジェクション攻撃を検知・防御するために、WAFの導入を検討し、適切なルールを設定してください。
- 入力値検証の徹底: アプリケーション開発者向けではありますが、全てのユーザー入力に対して厳格な検証を行い、不正なSQLクエリが生成されないようにする根本的な対策が重要です。
- 定期的なセキュリティ診断: 定期的にWebアプリケーションの脆弱性診断を実施し、潜在的なリスクを早期に発見・対処する体制を構築してください。
一時的な緩和策
- WAFによるSQLインジェクション対策ルールの適用: 既存のWAFがある場合は、SQLインジェクション攻撃パターンをブロックするルールが有効になっているか確認し、必要に応じて強化してください。
- ネットワークレベルでのアクセス制限: 業務上不要な外部からのアクセスをファイアウォールなどで制限し、攻撃対象を限定することを検討してください。
確認方法
- ご自身の環境でSourceCodester Sales and Inventory System 1.0が稼働しているかを確認してください。
- システムログやWebサーバーのアクセスログを監視し、
check_supplier_details.phpへの不審なアクセスや、異常なデータベースクエリ、エラーメッセージがないかを確認してください。