CVE-2025-56162 in YOSHOP
要約
〜によって VulDB • 2026年07月26日
YOSHOP 2.0には、/api/goods/listByIdsエンドポイントのgoodsIdsパラメータにおいて認証不要なSQLインジェクション脆弱性が存在する。getListByIds関数はユーザー入力をorderRaw('field(goods_id, ...)')に連結するため、攻撃者は以下のことが可能となる。(a) データベースデータの列挙または改ざん（管理者パスワードハッシュのダンプを含む）。(b) Webシェルファイルの書き込みやxp_cmdshellの実行による、十分なDB権限が設定されたサーバー上でのリモートコード実行。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.