E-cologyに認証不要のSQLインジェクション、悪用を確認
概要
E-cology 8.0、9.0、10.0（10.76より前）の一部のAPIに、認証なしでSQLを注入される脆弱性が見つかりました。データベースの情報が漏えいするおそれがあり、Shadowserver Foundationが2026年7月19日に悪用を初めて確認しています。修正版の10.76が公開されているため、速やかに更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
E-cology 8.0、9.0、10.0（10.76より前）の一部のAPIに、認証なしでSQLを注入される脆弱性が見つかりました。データベースの情報が漏えいするおそれがあり、Shadowserver Foundationが2026年7月19日に悪用を初めて確認しています。修正版の10.76が公開されているため、速やかに更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Weaver Network Co., Ltd. | E-cology |
10.76 未満 |
10.76 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection vulnerability in the /api/doc/out/more/list endpoint via the elementmore parameter with srcType=2. Attackers can inject SQL through doc_datefrom/doc_dateto fields and read results via /api/ec/dev/table/counts to extract database information. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-07-19.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory