CVE-2020-35674 in Online Invoicing System
要約
〜によって VulDB • 2026年07月30日
BigProf Online Invoicing System 2.9 より前には、/membership_passwordReset.php（セルフサービスパスワードリセットを発行するエンドポイント）において認証不要の SQL Injection が存在します。認証不要のアタッカーは、データベースから機密情報を抽出し、最終的にはアプリケーション乗っ取りに至る可能性のある、改ざんされたペイロードを含むリクエストを送信できます。この脆弱性は、レガシー環境でのアプリケーション利用を可能にするため、開発者が独自のサニタイズ処理を実装した結果として導入されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.