漏洞关键信息 漏洞描述 漏洞类型：认证时间依赖SQL注入 文件： 受影响版本：<= 2.10.0 修复版本：无 漏洞细节 漏洞位置： 脚本内的 方法 问题参数：用户提供的 参数未正确处理，直接拼接到多个SQL查询中，未进行适当的转义或参数化。 示例漏洞代码： 证明概念 (PoC) 1. 使用有效账户（如默认凭证 ）登录 应用程序。 2. 在浏览器中请求特定URL，其中包含SQL注入有效负载，利用 条件解开查询的字符串上下文，执行 函数使数据库延迟2秒响应。 3. 应用程序页面加载时间会比正常情况下长2秒，确认注入命令成功执行。 漏洞影响 绕过授权：攻击者可读、改或删数据库中的任意数据，包括学生、教职员工和财务的敏感信息。 数据泄露：数据库中的数据可以被窃取。 数据篡改：攻击者能修改或破坏记录，破坏数据完整。 拒绝服务（DoS）：执行资源密集型查询可使数据库服务器过载，导致应用程序对合法用户不可用。