🚨 CVE-2026-42569 - phpVMS 未認証データベースワイプ

phpVMS における未認証データベースワイプ / 破壊的インポート

📌 概要

CVE-2026-42569 は phpVMS（バーチャルエアライン管理システム）における重大な脆弱性であり、未認証の攻撃者がレガシーインポートエンドポイントにアクセスできるようにします。

これらのエンドポイントは制限されるはずでしたが、バージョン ≤ 7.0.5 ではアクセス可能なままであり、攻撃者が大量削除やデータベースワイプ操作を発生させる可能性があります。

🛠 影響を受けるバージョン

⚠️ 影響

• 未認証アクセス
• フライト、ユーザー、スケジュール、その他の重要なデータの大量削除
• データベース全体のワイプの可能性（TRUNCATE / DELETE 操作）
• バーチャルエアラインシステムの完全な侵害

🧪 PoC の使用法

python3 CVE-2026-42569.py http://target.com

出力例（成功）:

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ 緩和策

1. 直ちに更新して phpVMS 7.0.6 以降にしてください。
2. /importer および /import エンドポイントへのアクセスを削除または制限してください。
3. Webサーバー（Nginx/Apache）でレガシーインポートルートへのアクセスをブロックしてください。
4. データベースを定期的にバックアップしてください。

🔧 一時的な簡易修正（Nginx）

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ 免責事項

このリポジトリは教育および許可されたセキュリティテスト専用です。
作者は、このツールによって引き起こされた誤用や損害について責任を負いません。
無許可の悪用は違法です。