タイトル: code-projectsのオンライン学生管理システム（PHP版）における未分類のSQLインジェクション 説明: "Online Student Management System in PHP"（code-projects）には複数のSQLインジェクション脆弱性が存在し、攻撃者は認証をバイパスして機密性の高いデータベースレコードを列挙および漏洩させることができ、さらにはデータベース全体の侵害やアカウント乗っ取りを達成する可能性があります。 概念実証 / 再現手順: - 認証またはIDベースのパラメータに対して典型的なSQLiペイロードを送信する。 - ブールベース、エラーベース、またはタイムベースの技術を使用して、スキーマおよび機密フィールドを抽出する。 - 正常なログイン、追加で返された行、またはデータベース構造を開示するエラーメッセージを観察する。 証拠（コード抜粋）: - accounts.phpの24〜27行目およびstudents.phpの41〜44行目には、準備文を使用せずにユーザー入力を直接連結しているコードが示されている。 影響: - 認証のバイパス - データの漏洩（機密性の高いユーザーおよびシステムデータ） - データの変更/削除 - 権限に応じて、データベース全体へのアクセスが可能になる可能性がある。