从该网页截图中获取到的关于漏洞的关键信息如下： 漏洞概述：在 文件中存在 SQL 注入漏洞，由于用户控制的输入未经安全字符串连接直接插入 SQL 查询，攻击者可以构造恶意的 参数，操纵数据库查询逻辑，导致数据泄露等后果。 漏洞细节： - 漏洞类别：SQL 注入 - CWE 编号：CWE-89 （SQL 命令中特殊元素不正确中和） - 受影响的端点： - 受影响的参数： （HTTP GET） - 受影响的文件/组件： - 数据库/API：通过 使用 MySQL 漏洞代码示例： 根本原因： 用户输入直接拼接到 SQL 语句中，未经过参数化，使攻击者能够注入 SQL 语法并改变查询语义。 影响：根据环境与数据库权限，可能允许： - 操作用户名存在检查逻辑（造成“已存在”与“可用”结果不一致） - 盲 SQL 注入（通过布尔/时间基础进行数据库内容推断，即使错误被抑制） - 数据库账户拥有更宽泛的读取权限时，潜在敏感数据泄露。 严重性/CVSS：推荐 CVSS 3.1 基础评分：7.5（高），向量： - 原因：远程、低复杂度、无需认证、无需用户交互，主要风险为信息泄露。 修复建议：主要修复方法是使用预编译语句（参数化查询）并缩小查询范围。 - 安全修补示例（mysqli 预编译语句）：