CVE-2025-70149 — SQLインジェクション研究プロジェクト

概要

CVE-2025-70149（CodeAstro Membership Management System v1.0における重大なSQLインジェクション脆弱性、CVSS 9.8/10）の悪用と緩和を示すセキュリティ研究プロジェクトです。

CVE詳細

フィールド	値
CVE ID	CVE-2025-70149
CVSSスコア	9.8 CRITICAL
種類	SQL Injection (CWE-89)
認証要否	なし

実験環境

• 攻撃者: Kali Linux (192.168.63.5)
• 被害者: Windows 10 + XAMPP (192.168.63.6)
• ツール: sqlmap 1.10.3

結果

• データベース全体をリモートでダンプ
• 9件のメンバーレコードを抽出
• 管理者資格情報を取得
• MD5ハッシュをクラック

適用した対策

• PHPプリペアドステートメント
• 入力検証
• 最小権限のDBユーザー
• エラー処理

MITRE ATT&CK

T1190, T1082, T1005, T1555, M1026, M1027

免責事項

このプロジェクトは、学術目的のみで隔離されたローカル環境で実施されました。