关键信息 标题 Portabilis i-Educar 2.10 SQL Injection 描述 SQL 注入（基于布尔）漏洞存在于 端点的 参数中。 概要 在 i-Educar 应用程序的 端点中， 参数存在 SQL 注入漏洞。此漏洞允许攻击者在后端数据库上执行任意 SQL 命令，可能危及应用程序数据的机密性、完整性和可用性。 详细信息 易受攻击的端点: 参数: 应用程序未能正确验证和清理 参数中的用户输入，导致攻击者可以注入由数据库直接执行的精心设计的 SQL 负载。这可能导致数据库枚举、数据外泄、修改或通过时间延迟的拒绝服务。 PoC (概念验证) 1. 安装 sqlmap 工具并运行以下命令： 2. sqlmap 将开始测试 参数中的大量 SQLi，直到找到一个基于布尔的盲注。 图像链接 https://github.com/KarinaGante/KGSec/raw/main/CVEs/images/SQLi6.png 结果 一段时间后，sqlmap 将列出可用的数据库，确认存在 SQLi。