JVNDB-2026-015255

V2BoardにおけるSQL インジェクションの脆弱性

V2Boardバージョン1.7.4以前には、ORDER BY句を介したSQLインジェクションの脆弱性があります。app/Http/Controllers/Admin/UserController.phpにて、ユーザー入力のsortパラメータが検証なしにUser::orderBy($sort, $sortType)に直接渡されます。認証された管理者はパスワードやremember_tokenなどの機密フィールドを含む任意のデータベースカラムでユーザーをソートでき、その結果、並べ替え分析を通じて情報漏洩が発生する可能性があります。

V2Board

• V2Board 1.7.4 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : V2Board 1.7.4 Multiple Vulnerabilities (CVE-2026-37503/37504/37505)  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-37505

1. National Vulnerability Database (NVD) : CVE-2026-37505
2. 関連文書 : GitHub - v2board/v2board: A multiple proxy protocol manage panel application interface  GitHub

• [2026年05月13日]
    掲載