漏洞概述 该漏洞涉及一个游戏插件的Web界面，通过简单的GET请求即可实现账户接管、权限提升和远程代码执行（RCE）。具体流程为：CSRF → SQL注入 → 账户接管 → 权限提升 → RCE。 影响范围 目标系统：SourceBans Material Admin (SBMA) 插件，版本 <= 1.1.6 (530)，PHP <= 8.0。 受影响用户：所有使用该插件的管理员。 潜在风险：攻击者可以通过修改管理员的VK链接，利用SQL注入获取管理员权限，进而控制整个服务器。 修复方案 1. 输入验证：对所有用户输入进行严格的验证和过滤，防止SQL注入。 2. CSRF保护：确保所有敏感操作都使用CSRF令牌保护，避免跨站请求伪造。 3. 权限管理：定期检查和管理管理员权限，确保最小权限原则。 4. 更新软件：及时更新插件和PHP版本，修复已知漏洞。 POC代码 利用代码 总结 该漏洞通过简单的GET请求即可实现账户接管和权限提升，严重影响系统的安全性。建议尽快采取上述修复措施，以防止潜在的安全风险。