JVNDB-2026-008496

AdmidioにおけるSQL インジェクションの脆弱性

Admidioはオープンソースのユーザー管理ソリューションです。バージョン5.0.6以下には、MyList設定機能を介した任意のSQLインジェクションの脆弱性が存在します。MyList設定機能は認証済みユーザーがカスタムのリスト列レイアウトを定義できるものであり、ユーザーが入力した列名、ソート方向、フィルタ条件をprepared statementを使ってadm_list_columnsテーブルに保存します。しかし、これらの保存された値は後で読み戻され、サニタイズやパラメータ化なしに動的に構築されたSQLクエリに直接埋め込まれるため、古典的なセカンドオーダーSQLインジェクション脆弱性（安全な書き込み、危険な読み込み）が発生します。攻撃者はこれを悪用して任意のSQLを注入し、データベース内の任意のデータの読み取り、変更、削除を行い、完全なデータベース侵害を達成する可能性があります。この問題はバージョン5.0.7で修正されています。

Admidio

• Admidio 5.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Second-Order SQL Injection via List Configuration (lsc_special_field, lsc_sort, lsc_filter)  Advisory  Admidio/admidio  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-32813

1. National Vulnerability Database (NVD) : CVE-2026-32813
2. 関連文書 : Merge commit from fork  Admidio/admidio@3473bf5  GitHub

• [2026年03月25日]
    掲載