漏洞总结：OpenCart 3.0.3.8 会话注入 漏洞概述 漏洞类型：会话注入（Session Fixation / Injection） 漏洞描述：OpenCart 3.0.3.8 版本中，会话 cookie 未被正确处理，攻击者可设置任意值，服务器会接受该值作为有效会话标识。 EDB-ID：50555 作者：Hubert Wojciechowski 发布日期：2021-11-29 平台：PHP Web 应用 影响范围 受影响版本：OpenCart 3.0.3.8 测试环境：Windows 10 + XAMPP + Apache/2.4.48 (Win64) + OpenSSL/1.1.1l + PHP/7.4.23 风险等级：高危 —— 可导致会话固定、会话劫持、未授权访问等 修复方案 官方链接：https://www.opencart.com/ 建议：升级至最新安全版本；确保会话 ID 由服务器生成并不可被客户端篡改；对会话 cookie 设置 HttpOnly 和 Secure 标志。 POC / 利用代码 > 注：攻击者通过构造恶意 cookie 值，使服务器接受其指定的会话 ID，从而实现会话固定或越权访问。