概要
FeMiner wmsのバージョン1.0までにおいて、SQLインジェクションの脆弱性（CVE-2026-3969）が発見されました。この脆弱性は、「Basic Organizational Structure Module」コンポーネント内の/wms-master/src/basic/depart/depart_add_bg.phpファイルに存在すると報告されています。「Name」引数を操作することでSQLインジェクションが引き起こされ、リモートからの攻撃が可能であるとされています。また、この脆弱性を悪用する攻撃コード（エクスプロイト）が既に公開されており、悪用される危険性が高い状況です。ベンダーには早期に開示について連絡があったものの、現時点では応答がないと報告されています。
影響範囲
- 対象製品: FeMiner wms バージョン 1.0まで
- 影響コンポーネント: Basic Organizational Structure Module
- 影響ファイル:
/wms-master/src/basic/depart/depart_add_bg.php - 影響機能: 「Name」引数の処理
想定される影響
このSQLインジェクションの脆弱性が悪用された場合、以下のような影響が想定されます。
- データベース内の機密情報（ユーザー情報、設定データなど）が不正に閲覧される可能性があります。
- データベース内のデータが改ざんまたは削除される可能性があります。
- システムへの不正アクセスや、さらなる攻撃の足がかりとして利用される可能性があります。
- 結果として、情報漏洩、データの完全性・可用性の喪失につながる恐れがあります。
攻撃成立条件・悪用状況
攻撃はリモートから開始される可能性があり、「Name」引数を操作することでSQLインジェクションが成立すると報告されています。特に懸念されるのは、この脆弱性を悪用するための攻撃コード（エクスプロイト）が既に公開されている点です。これにより、技術的な知識が限定的な攻撃者でも容易に悪用を試みる可能性があり、早急な対策が求められます。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからの情報収集: 現時点ではベンダーからの応答がないと報告されていますが、引き続きFeMiner wmsの公式発表やセキュリティ情報に注意を払い、修正パッチやアップデートが提供され次第、速やかに適用してください。
中長期的な対策
- 入力値検証の徹底: アプリケーション側でユーザーからの入力値を厳格に検証し、不正なSQLクエリが生成されないようにする対策を検討してください。
- WAF (Web Application Firewall) の導入・設定強化: WAFを導入している場合は、SQLインジェクション攻撃を検知・ブロックするためのルールを強化してください。未導入の場合は、導入を検討することをお勧めします。
- データベースアクセス権限の最小化: Webアプリケーションがデータベースにアクセスする際の権限を、必要最小限に制限してください。
一時的な緩和策
- WAFによる保護: WAFを導入している場合、SQLインジェクション対策のシグネチャやルールを適用し、攻撃トラフィックをブロックするよう設定してください。
- アクセス制限: 影響を受けるWebアプリケーションへのアクセス元を、信頼できるIPアドレスに限定するなどのネットワークレベルでの制限を検討してください。
確認方法
- ご使用のFeMiner wmsのバージョンが1.0以下であるかを確認してください。
- Webサーバーやデータベースのログを定期的に監視し、不審なSQLクエリやエラーメッセージがないか確認してください。