CVE-2022-46443 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入漏洞。 💥 **后果**：攻击者可操控数据库，窃取或篡改餐厅核心业务数据。

🔍 **缺陷点**：`itemqty[]` 参数未做严格过滤。 ⚠️ **CWE**：数据未提供，但典型为输入验证缺失。

📦 **受影响**：Bangresto POS 系统。 🏷️ **版本**：仅限 **1.0** 版本。

🕵️ **黑客能力**：执行任意SQL命令。 📂 **数据风险**：泄露订单、库存、用户隐私等敏感信息。

🚪 **门槛**：低。 🔑 **认证**：通常无需高权限，直接通过参数注入即可触发。

📜 **Exp**：有。 🔗 **来源**：ProjectDiscovery Nuclei 模板及 GitHub 公开 PoC。

🔎 **自查**：扫描 `itemqty[]` 参数。 🛠️ **工具**：使用 Nuclei 模板或 SQLMap 进行自动化检测。

🛡️ **补丁**：数据未提及官方具体补丁链接。 💡 **建议**：联系开发者“Mesin Kasir”获取更新。

🚧 **临时规避**：WAF 拦截含 SQL 关键字的请求。 🔒 **代码层**：对 `itemqty[]` 进行严格的白名单或参数化查询处理。

⚡ **优先级**：高。 📢 **理由**：SQL注入危害极大，且已有现成利用工具，建议立即修复。