漏洞概述 漏洞类型:SQL注入(SQL Injection) 漏洞描述:EcclesiaCRM v8.x 的 Query Viewer 组件存在SQL注入漏洞。该组件允许用户执行预定义的查询,但未能正确清理用户提供的参数,导致攻击者可以注入任意SQL命令。 受影响版本:v8.0.0 及更早版本 CWE:CWE-89(SQL命令中特殊元素的不当中和) CVSS 3.1 评分:8.8(高) 前提条件:需要具有“Query Viewer”访问权限的认证用户 影响:完整数据库泄露、管理员凭证窃取、未授权数据访问 影响范围 受影响组件: - 端点: - 文件: - 函数: 和 - 次要问题:信息泄露(HTML注释中的完整SQL查询泄露) 修复方案 1. 实施准备语句:从手动字符串替换过渡到参数化查询(使用PDO或MySQL)。这是修复SQL注入的唯一确定方法。 2. 严格输入验证:更新 以使用 或类型转换(如 )作为临时缓解措施。 3. 禁用详细调试:移除将 输出到HTML注释中的代码,以防止敏感信息泄露。 利用代码(POC)