PT-2025-40400
CVE-2025-56162
·
تاريخ النشر
2025-10-02
·
تاريخ التحديث
2025-10-07
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
YOSHOP الإصدار 2.0
الوصف
البرنامج معرض لثغرة حقن SQL غير مصادق عليها عبر المعلمة
goodsIds في نقطة نهاية واجهة برمجة التطبيقات (API) /api/goods/listByIds. تقوم الدالة getListByIds بدمج المدخلات التي يقدمها المستخدم بشكل غير صحيح في استعلام إلى قاعدة البيانات، وتحديدًا داخل orderRaw(’field(goods id, ...)‘). وهذا يتيح للمهاجمين إمكانية تعداد أو تعديل بيانات قاعدة البيانات، بما في ذلك الحصول على تجزئات كلمات مرور المسؤول. قد يسمح الاستغلال أيضًا بتسجيل ملفات web-shell أو استدعاء xp cmdshell، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد على الخوادم ذات الامتيازات العالية في قاعدة البيانات.التوصيات
قم بتطبيق تصحيح لتنقية مدخلات المستخدم بشكل صحيح للمعلمة
goodsIds في نقطة النهاية /api/goods/listByIds.قم بتصحيح التسلسل غير السليم لمدخلات المستخدم داخل الدالة
getListByIds.قم بمراجعة وتقييد امتيازات قاعدة البيانات لتقليل تأثير أي استغلال محتمل.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾