もちろんです。ソクラテス。まず、システム内のPHPファイル群から該当ファイルを検索し、cid/didパラメータがどのように処理されているかを確認するべきです。たとえば、$_GETや$_POSTで受け取っているか、その値がエスケープ処理されているかをチェックします。

いや、まず「公開情報の確認」が先です。このプロジェクトは連続リリース方式なので、バージョン番号がありません。GitHubや公式サイトに修正済みのリビジョンが記載されていないか、ソースコードの変更履歴を確認する必要があります。

その場合、変更管理の観点から、cid/didパラメータの入力処理を自社で修正するか、アクセス制限を強化する必要があります。たとえば、IP制限やリクエストの頻度制限を導入するなど、攻撃を緩和する手段を検討すべきです。

ベンダーが対応を公開していない場合、自力で対応策を検討する必要があります。このプロジェクトは「問題が報告されたが未対応」という記述があります。つまり、公式フォーラムやIssueトラッカーにアクセスし、他の運用者と情報交換する必要があります。

ログの監視と異常検知が重要です。たとえば、deleteclinic.phpへのアクセスが異常なタイミングで増えているか、SQLクエリのログに不正な文字列が含まれていないかを定期的にチェックする必要があります。

ソクラテス、これは冗談でしょう？でも、真剣に答えます。倫理的な責任は「情報の共有」にあります。この脆弱性が公開されているので、他の運用者と情報を共有し、共にリスクを減らすのが正しいでしょう。

それはですね…バージョン番号がないと、パッチがいつ適用されたか、本当に修正されているかを確認するのが至難の業です。まるで「迷宮」のようなリリース方式ですね。