关键信息 漏洞详情 CVE编号: CVE-2025-60311 发现者: Ivan Case (https://www.linkedin.com/in/ivancase/) 受影响产品: ProjectWorlds Gym Management System Project - 1.0 厂商: ProjectWorlds 漏洞类型: SQL注入 (SQLI) 描述 ProjectWorlds Gym Management System 1.0 存在通过 参数的 SQL 注入漏洞，允许攻击者利用 profile/edit.php 页面直接访问数据库并危及底层系统。 攻击向量 已登录的具有管理员权限的用户可以通过 标识符参数访问和修改健身房会员记录，该参数未充分清理，允许直接进行 SQL 注入攻击，从而危及数据库和底层系统。 影响 远程：是 影响代码执行：是 影响权限提升：是 影响信息泄露：是 重现步骤 1. 登录后查看仪表板。 2. 转到“Admin Panel”部分，特别是“View/Edit Members”子部分。 3. 使用适当的“Edit”按钮选择要修改的用户，例如用户名“Ivan”。 4. 查看编辑账户页面和 URL 中的引用 参数。 5. 使用经典引号字符技术检查 SQL 注入漏洞的存在。 6. 最终，通过自动化的 SQLMap 工具进行利用。 注意事项 启用对数据库的未经授权访问，允许攻击者读取、修改或删除敏感记录。 允许身份验证绕过和权限提升，使攻击者有可能获得管理控制权。 促进大规模数据提取和篡改，损害数据完整性、业务连续性和用户信任。 缓解措施 1. 参数化查询 / 预编译语句 - 对所有数据库访问使用参数化查询或预编译语句。从不将用户输入连接到 SQL 命令中。 2. 输入验证与白名单 - 在服务器端使用严格允许列表（如正则表达式）验证和规范化所有用户输入值。 3. 最小权限原则 - 确保应用程序使用的数据库凭据仅具有所需的最低权限（例如，单独的读/写/管理员角色）。 4. 避免动态 SQL 并禁用堆叠查询 - 如果不可避免，请使用安全参数绑定，并为每个查询禁用多个语句支持。 5. 强健的错误处理和日志记录 - 不要向用户显示数据库错误消息；记录可疑查询和异常以供监控和取证分析。