漏洞关键信息 漏洞概述 产品名称: URY Open Source Restaurant Management System 模块: POS (Point of Sale) 漏洞类型: SQL Injection 数据库: MariaDB 影响组件 文件: 函数: 行号: 56, 63 端点: HTTP 方法: POST 认证要求: 需要认证（低权限用户足够） 漏洞分类 CWE: CWE-89 - 改写SQL命令中使用的特殊元素 OWASP Top 10: Injection WASC: WASC-19 - SQL Injection CAPEC: CAPEC-66 - SQL Injection CVSS v3.1 评分 基础分: 8.5 (高) 向量分解 - 攻击向量 (AV): 网络 - 远程可利用 - 攻击复杂度 (AC): 低 - 不需要特殊条件 - 所需权限 (PR): 低 - 基本用户账户足够 - 用户交互 (UI): 无 - 不需要用户交互 - 作用范围 (S): 改变 - 影响范围可能超出脆弱组件 - 机密性 (C): 高 - 完全信息泄露 - 完整性 (I): 低 - 允许部分数据修改 - 可用性 (A): 无 - 无直接影响 PoC 攻击示例 影响评估 立即影响 1. 未经授权的数据访问 2. 凭证窃取 3. 数据操纵 4. 业务逻辑绕过 长期后果 合规性违规: PCI DSS, GDPR, CCPA 非合规 财务损失: 欺诈性交易，监管罚款 声誉损害: 客户信任流失 法律责任: 数据泄露通知要求 修复措施 立即需要的行动 优先级 1: 应用热修复（24小时内） 选项 A: 使用参数化查询（推荐） 选项 B: 使用预编译语句 优先级 2: 输入验证（48小时内） 验证步骤 1. 测试脆弱系统 2. 验证补丁有效性