中小企業のための、
手早くて分かりやすい
セキュリティ診断

該当箇所

app/Http/Controllers/OrderController.php L84

確認方法

静的解析で検出後、東京ITがコードを読み、ログイン不要の画面から到達できることを確認

80public function search(Request $request)
81{
82    $keyword = $request->input('q');
83
84    $orders = DB::select("SELECT * FROM orders WHERE customer_name LIKE '%$keyword%'");
85
86    return view('orders.index', compact('orders'));
87}

内容

検索キーワードの入力値を、そのままSQL文に埋め込んでいます。細工した文字列を送られると、データベースの内容を読み出される恐れがあります。

影響

注文情報と顧客情報（氏名・住所・電話番号）の漏えい

修正方針

プレースホルダ（バインド変数）を使ったクエリに書き換えてください。同じ書き方が、ほかに2か所あります（T-04、T-05）。

84    $orders = DB::select(
85        'SELECT * FROM orders WHERE customer_name LIKE ?',
86        ['%' . $keyword . '%']
87    );