漏洞关键信息 漏洞概述 CVE编号: CVE-2018-12470 漏洞类型: SQL注入 模块: RegistrationSharing module 状态: 已解决并修复 (RESOLVED FIXED) 漏洞细节 发现者: security@suse.de 报告时间: 2018-08-04 20:07 UTC 影响版本: 正在影响 SUSE 订阅管理工具 (SMT) v3.0.32 及其 模块 利用方法: 通过构造恶意的POST请求，发送带有特殊设计的XML载荷到 端点 漏洞影响 漏洞利用示例: 在XML载荷中，攻击者可以通过未被转义的 字段值注入SQL代码，进而控制 和 表，达到任意代码执行。 示例脚本: 焦点放在 子程序对XML数据的处理上 代码示例: 在 中， 未被安全检查即插入SQL 修复措施 修复时间: 2020-09-18 12:37 UTC CVE分配: 在2018-08-04该漏洞被分配了CVE编号 其他 更新说明: 对多方产品的修复更新已经发布，包括SUSE OpenStack, SUSE Linux Enterprise Server等多个版本，修复了三个漏洞，包含 CVE-2018-12470、CVE-2018-12471 和 CVE-2018-12472。