漏洞总结 漏洞概述 该提交修复了 Xibo CMS 中的 SQL 注入漏洞。漏洞源于对 SQL 查询参数（如 、 ）的输入验证和清理不足，攻击者可通过构造恶意输入绕过黑名单过滤，执行任意 SQL 命令。 影响范围 受影响组件： 、 、 攻击向量：通过 HTTP 请求参数（如 、 ）注入恶意 SQL 语句 潜在危害：数据泄露、数据篡改、服务器权限提升 修复方案 1. 引入 SQL 清理函数：在 中新增 函数，用于： - 提取并保护字符串字面量 - 移除注释和编码 - 检测并阻止危险 SQL 关键字（如 、 、 等） - 递归清理嵌套结构 - 恢复原始字符串 2. 应用清理函数： - 在 的 方法中，对 参数调用 - 在 的 和 方法中，对 和 参数调用 3. 增强黑名单机制：在 中扩展 数组，包含更多危险 SQL 关键字（如 、 、 、 、 、 、 、 等） POC 代码/利用代码 无直接 POC 代码，但以下代码展示了修复后的安全处理方式： 此修复通过系统性地清理和验证输入，有效防止了 SQL 注入攻击。