SQLインジェクション
このタグの記事 4 件
CVE-2026-72898 — Metabaseの認証なしSQLインジェクションで管理者権限（解説と対応策）
Metabase のパスワード再設定エンドポイントに認証なしSQLi（CWE-89・CVSS 10.0・KEV）。主な対応は各系列の修正版への更新。ただし重要なのは、BIツールが接続先DBすべての認証情報を保持していること。当サイトの結論＝更新して終わりにせず、セッション失効と接続先データベースの認証情報ローテーションまでやって初めて対応完了。
CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）
WordPressコアのREST APIバッチエンドポイントのルート混同（CVE-2026-63030・CWE-436）が、WP_Queryのauthor__not_inのSQLインジェクション（CVE-2026-60137・CWE-89）と連鎖し、未認証のSQLi→RCEに至り得る（CVSS 9.8・KEV掲載）。両者は同一リリースで修正済み。最も確実な対応は『6.8.6 / 6.9.5 / 7.0.2 以降へ更新』＋侵害確認。WordPress本体の脆弱性なので影響範囲が極めて広く、更新が最優先。
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
SQLインジェクション（SQLi）とは：入力でデータベースへの命令を書き換えられる脆弱性
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。基本の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。