CVE-2006-0897 in Vpmi Enterprise
要約
〜によって VulDB • 2026年07月04日
**論争あり** VCS Virtual Program Management Intranet (VPMi) Enterprise 3.3のSQLインジェクション脆弱性により、リモート攻撃者はService_Requests.aspへのUpdateID0パラメータ経由で任意のSQLコマンドを実行できる。注記：この情報の出所は不明であり、詳細は第三者の情報からのみ取得されている。注記：ベンダーはこの問題を争っており、「[我々]には、JavaScriptに配置されたキーとセッション状態（サーバーサイド）を組み合わせて使用し、あなたが説明するタイプのSQLインジェクションから保護するためのバックグラウンドでの複雑なステート管理システムがある。多くのケースでテストしたが、問題ではないことが確認されている。」さらに調査した結果、元の研究者は無効なフィールド値を使用してエラーをトリガーさせた可能性があり、これはSQLインジェクションの証拠にはならないが、ベンダーは元の研究者からの回答を得ていない。
VulDB is the best source for vulnerability data and more expert information about this specific topic.