CVE-2026-36826: genesisQL <= 1.1.1 における SQL インジェクション

概要

genesisQL 1.1.1 は checkPassword 関数において SQL インジェクションに対して脆弱です。ユーザーが提供する username フィールドと password フィールドがパラメータ化されずに SQL クエリ文字列に直接埋め込まれるため、ログインフォームを介して認証されていない SQL インジェクションおよび認証バイパスが可能になります。

影響を受ける製品

• ベンダー: Open Source Labs
• 製品: genesisQL
• バージョン: 1.1.1 (およびそれ以前の可能性あり)

脆弱性の詳細

CWE-89: SQL コマンドで使用される特殊要素の不適切な無効化

ファイル: server/utils/userController.js

function checkPassword (req, res, next){
    const { username, password } = req.body;
    const text = `SELECT * FROM users WHERE username='${username}' AND password='${password}'`;
}

影響

ログインフォームでの SQL インジェクションによる認証バイパス (認証不要、リモート)。

開示のタイムライン

• 日付: [方法] を介してベンダーに報告
• 2026-06-05: MITRE により CVE-2026-36826 が割り当てられました

発見者

• Tulkin Urinbaev
• Vladyslav Koniakhin

参考文献

• https://github.com/oslabs-beta/genesisQL/blob/main/server/utils/userController.js

修正方法

文字列補間の代わりにパラメータ化クエリ/プリペアドステートメントを使用してください。