CVE-2023-49641 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入 (SQLi)。 💥 **后果**：攻击者可绕过认证，直接操控数据库。 📉 **严重性**：CVSS 满分 10.0，高危中的高危！

🛡️ **CWE-89**：SQL注入漏洞。 🔍 **缺陷点**：`loginCheck.php` 中的 `username` 参数。 ❌ **原因**：未对输入进行任何验证或过滤。

🏢 **厂商**：Kashipara Group (印度)。 💻 **产品**：Kashipara Billing Software。 📦 **版本**：仅 **v1.0** 受影响。

👑 **权限**：完全控制数据库。 📊 **数据**：读取、修改、删除所有业务数据。 🔓 **后果**：可能获取管理员权限，导致系统沦陷。

🚪 **认证**：无需登录 (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 ⚡ **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。 📝 **总结**：门槛极低，谁都能打！

更新于 2026-05-06 CVSS 9.8 · Critical

本页是神龙十问 AI 深度分析的摘要版。完整版（更长回答、追问、相关漏洞）需登录查看 →

Q1这个漏洞是什么？（本质+后果）

🚨 **本质**：SQL注入 (SQLi)。
💥 **后果**：攻击者可绕过认证，直接操控数据库。
📉 **严重性**：CVSS 满分 10.0，高危中的高危！

🛡️ **CWE-89**：SQL注入漏洞。
🔍 **缺陷点**：`loginCheck.php` 中的 `username` 参数。
❌ **原因**：未对输入进行任何验证或过滤。

🏢 **厂商**：Kashipara Group (印度)。
💻 **产品**：Kashipara Billing Software。
📦 **版本**：仅 **v1.0** 受影响。

👑 **权限**：完全控制数据库。
📊 **数据**：读取、修改、删除所有业务数据。
🔓 **后果**：可能获取管理员权限，导致系统沦陷。

🚪 **认证**：无需登录 (PR:N)。
🌐 **网络**：远程利用 (AV:N)。
⚡ **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。
📝 **总结**：门槛极低，谁都能打！