CVE-2025-50341: Axelor における SQL インジェクション

CVE ID: CVE-2025-50341
報告者: Milad Seddigh
製品: Axelor
影響を受けるバージョン: v5.2.4
影響: SQL インジェクション → データベース内容の外部漏洩。

概要

Axelor の「_domain」パラメータに Boolean ベースの SQL インジェクションの脆弱性が発見されました。攻撃者は SQL クエリロジックを操作して真偽条件を判別でき、データ漏洩やさらなる悪用につながる可能性があります。

再現手順

1- アカウントにログインする。
2- ボディに「_domain」パラメータを含むリクエストをインターセプトする。
3- 「domain」パラメータに Boolean ペイロード（or 1=1）を挿入する。
4- 「domain」パラメータに Boolean ペイロード（or 1=2）を挿入する。
5- 1=1 と 1=2 の場合のサーバーレスポンスの違いを観察する。
6- データベースの全内容をダンプする。

緩和策

1. パラメータ化クエリ / プリペアドステートメントを使用する
   すべての SQL クエリがパラメータ化されたステートメントまたはプリペアドクエリを使用して構築されていることを確認してください。このアプローチは SQL ロジックをユーザー入力から分離し、インジェクションを防止します。
2. ORM ライブラリを適切に採用する
   最新の ORM（オブジェクト関係マッピング）ライブラリ（例：Sequelize、Prisma、TypeORM）を使用すると、生の SQL を抽象化し、安全なクエリ実践を強制するのに役立ちます。
3. 入力を検証およびサニタイズする
   コンテキストに基づいて厳格な入力検証を実施する（例：数値 ID は数字のみを含む）。期待される形式に合わない入力は拒否またはサニタイズする。検証にはブロックリストではなく許可リストを使用する。