脆弱なコードは最終的に、攻撃者が制御する item キーを SQL INSERT ステートメントの tabref フィールドに配置します。

概念的には、脆弱な操作は次のようになっていました：

$key が SQL ステートメントの一部となるため、細工された配列キーが結果のクエリを変更する可能性があります。

要件

PoC には以下が必要です：

• 脆弱なバージョンの PDF プラグインを実行している GLPI インスタンス。
• 有効な認証済み GLPI セッション。
• 有効な CSRF トークン。
• sqlmap。
• ターゲットをテストする権限。

PoC は PDF Plugin 4.1.2 に対して検証されました。

概念実証

以下への正当なリクエストをキャプチャします：

そして次のように保存します：

インジェクションポイントをマークするのに適した最小限のリクエストボディは次のとおりです：

* は、リクエストのどの部分をテストすべきかを sqlmap に指示します。

リクエスト構造の例：

sqlmap による検証

実行：

脆弱なインストールは、カスタム POST インジェクションポイントで 時間ベースブラインド SQL インジェクション を受け入れるものとして識別されるはずです。

典型的な検出結果は次のようになります：

この手法は、注入された条件が真と評価されるかどうかを判断するために、SLEEP() などの条件付き MySQL 遅延に依存しています。

このリポジトリは、文書化された PoC を脆弱性の検証に意図的に限定しており、データベースダンプや資格情報抽出のコマンドは提供していません。

技術的詳細

脆弱なリクエストは以下に到達します：

アプリケーションは次のような値を処理します：

PHP はこれを連想配列に変換し、攻撃者が配列キーを制御します。

そのキーは後にプラグインによって $key として使用され、脆弱なバージョンでは SQL ステートメントに直接連結されます。

結果として生じるデータフローは実質的に次のとおりです：

したがって、時間ベースのペイロードは SQL 式に影響を与え、提供された条件が真である場合にデータベースが意図的に応答を遅延させることができます。

アプリケーションは SQL クエリの結果を直接返さないため、悪用は ブラインド SQL インジェクション として実行されます。

パッチ

この問題は PDF Plugin 4.1.3 で修正されました。

脆弱な生の SQL 操作は、より安全なデータベース/ORM メカニズムと追加の認可ロジックに置き換えられました。

ユーザーは以下にアップグレードする必要があります：

または、より新しいサポートされているリリース。

検出

防御側は、以下をターゲットとする HTTP リクエストを確認することをお勧めします：

異常な item[...] パラメータ名を伴うもの。

特に疑わしいパターンには、配列キー内に SQL 構文や時間遅延関数が出現することが含まれます。例えば、以下への参照：

エンドポイントへの繰り返しの POST リクエストに続いて、一貫した数秒の応答遅延が見られる場合も、時間ベースブラインド SQL インジェクションを悪用しようとする試みを示している可能性があります。

責任ある使用

この概念実証は、以下の目的に限定して提供されています：

• セキュリティ研究；
• 脆弱性の検証；
• 許可を得て実施されるペネトレーションテスト；
• 防御的検証；
• 検出エンジニアリング。

所有していない、またはテストする明示的な許可を持っていないシステムに対して使用しないでください。

著者は、この資料の不正または違法な使用に対して一切の責任を負いません。

クレジット

脆弱性研究およびオリジナルの技術分析：

ITRESIT Labs — Javier Medina

オリジナル研究：

https://labs.itresit.es/2026/09/14/source-driven-recon-when-the-patch-becomes-the-poc-and-what-cve-2026-61797-taught-us-about-disclosure-opsec/

CVE：

GitHub Security Advisory：

免責事項

このリポジトリは、教育および許可されたセキュリティテストの目的にのみ使用されることを意図しています。

所有していないシステムをテストする前に、常に明示的な許可を取得してください。