JVNDB-2026-003008

DevcodeのOpenSTAManagerにおけるSQL インジェクションの脆弱性

OpenSTAManagerは、技術支援および請求管理のためのオープンソース管理ソフトウェアです。バージョン2.9.8およびそれ以前のバージョンにおいて、認証されたSQLインジェクションの脆弱性がOpenSTAManagerのScadenzario（支払スケジュール）印刷テンプレートに存在します。認証済みの任意のユーザーが管理者の資格情報、顧客情報、財務記録を含むデータベースから機密データを抽出できる可能性があります。この脆弱性はtemplates/scadenzario/init.phpに存在し、id_anagraficaパラメータが適切にサニタイズされないままSQLクエリに直接連結されていることが原因です。この脆弱性により、エラーに基づくSQLインジェクション手法を用いてデータベースの完全な読み取りアクセスが可能になります。

Devcode

• OpenSTAManager 2.9.8 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : SQL Injection in Scadenzario Print Template  Advisory  devcode-it/openstamanager  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2025-69216

1. National Vulnerability Database (NVD) : CVE-2025-69216

• [2026年02月12日]
    掲載