脆弱性

モバイルサイトのマイページでのSQLインジェクション

  • 情報公開日:2008年 11月 04日
  • 危険度:中
  • 対象:Ver 2.1.2未満
------------------------------------------
脆弱性の種類
------------------------------------------
SQLインジェクション
-----------------------------------------
脆弱性のあるファイル
-----------------------------------------
data/class/pages/mypage/LC_Page_Mypage_Order.php
-----------------------------------------
対策
-----------------------------------------
=======================================================
変更前
=======================================================
function lfGetOrderDetail($order_id) {
        		$objQuery = new SC_Query();
        		$objQuery->setorder("classcategory_id1, classcategory_id2");
$arrRet = $objQuery->select($col, "dtb_order_detail", $where, array($order_id));
        		return $arrRet;
    	}
=======================================================
変更後
=======================================================
function lfGetOrderDetail($order_id) {
        		$objQuery = new SC_Query();
        		$objCustomer = new SC_Customer();
        		//customer_idを検証
        		$customer_id = $objCustomer->getValue("customer_id");
$order_count = $objQuery->count("dtb_order", "order_id = ? and customer_id = ?", array($order_id, $customer_id));
        		if ($order_count != 1) return array();
$col = "product_id, classcategory_id1, classcategory_id2, quantity";
        		$where = "order_id = ?";
        		$objQuery->setorder("classcategory_id1, classcategory_id2");
$arrRet = $objQuery->select($col, "dtb_order_detail", $where, array($order_id));
        		return $arrRet;
    	}

EC-CUBE公式アドバイザー
ご相談窓口

  • 他社のASPやパッケージとの違いを知りたい
  • BtoCのサイトにBtoB機能を追加したい
  • 何から手をつければよいかわからない
  • オープンソースならではの注意事項を知りたい
  • 自社にマッチした制作会社を探したい
  • サイト制作だけでなく運営もサポートしてほしい

新規構築・リニューアル・取引先向けのWeb受発注システム(BtoB)や事業の拡大など、
今抱えている課題を解決する最適な業者探しを、アドバイザーがお手伝いします。