一、 漏洞 CVE-2025-13323 基础信息

                                        # Simple Pizza Ordering System SQL注入漏洞

## 概述

在 **code-projects Simple Pizza Ordering System 1.0** 中发现一个安全漏洞。攻击者可通过对 `/listorder.php` 文件中的 **ID 参数** 进行篡改，触发 SQL 注入攻击。

## 影响版本

- **Simple Pizza Ordering System 1.0**

## 细节

- 漏洞存在于 `/listorder.php` 文件中某一未明确指定的功能函数。
- 通过操纵请求中的 **ID 参数**，攻击者可以注入恶意 SQL 代码。
- 该漏洞允许 **远程攻击**，无需用户交互即可触发。

## 影响

- 攻击者可利用此漏洞访问或操控数据库内容。
- 当前已有公开的利用方式，存在被实际攻击的风险。
                                        

二、漏洞 CVE-2025-13323 的公开POC

三、漏洞 CVE-2025-13323 的情报信息

• 标题： GitHub - daojian1/Simple-Pizza-Ordering-System_V1.0_003: Simple Pizza Ordering System V1.0 listorder.php SQL injection -- 🔗来源链接

  标签：exploit

  神龙速读：

                                          根据图片中的信息，可以获取到以下关于漏洞的关键信息：
  
  - **项目名称**: Simple-Pizza-Ordering-System_V1.0_003
  - **漏洞类型**: SQL injection
  - **文件名**: listorder.php
  
  总结信息如下：
  
  ```markdown
  ### 漏洞关键信息
  
  - **项目名称**: Simple-Pizza-Ordering-System_V1.0_003
  - **漏洞类型**: SQL injection
  - **受影响文件**: listorder.php
  ```
                                          

  

• 标题： Download Free Open Source Projects | PHP, C++ | Source code & Projects -- 🔗来源链接

  标签：product

  神龙速读：

                                          从这个网页截图中，我们可以获取到以下关于漏洞的关键信息：
  
  1. **项目标题**：
     - "Simple College site Using HTML,CSS AND JAVASCRIPT"
     - "Project: Movie Trailer Using HTML,CSS & JavaScript With Source Code"
     - "Supermarket Billing System In C++ With Source Code"
     - "Banking management system project in C"
     - "Project: Sports Clothing Store from HTML, CSS and JS"
     - "Simple Chat System in PHP with Source Code Free Download"
     - "Etch a Sketch App In JavaScript With Source Code"
     - "How to install LEMP in Ubuntu"
     - "Captcha Generator In Python With Source Code"
     - "Game: Apple Collector from JS"
  
  2. **项目描述**：
     - 每个项目都有简短的描述，说明了项目的功能和目标。
     - 例如，“Simple College site Using HTML,CSS AND JAVASCRIPT”项目的目标是创建一个简单的大学网站。
  
  3. **项目分类**：
     - 项目被分类为不同的编程语言和项目类型，如C/C++, C++, PHP, JavaScript, Python等。
  
  4. **项目日期**：
     - 每个项目都有发布日期，例如“November 2, 2024”和“October 31, 2024”。
  
  5. **项目标签**：
     - 每个项目都有一个或多个标签，如“Project”, “PHP Projects”, “JavaScript Projects”等。
  
  6. **项目类型**：
     - 项目类型包括“Project”, “PHP Projects”, “JavaScript Projects”, “C/C++ Projects”等。
  
  7. **项目链接**：
     - 每个项目都有一个链接，用户可以点击下载源代码或查看详细信息。
  
  通过这些信息，我们可以了解到这个网站提供了一系列的源代码项目，涵盖了多种编程语言和项目类型。这些项目可能包含一些潜在的安全漏洞，因为它们是开源的，任何人都可以查看和修改源代码。
                                          

  

• 标题： Login required -- 🔗来源链接

  标签：signaturepermissions-required

  神龙速读：

                                          - **漏洞 ID**: VDB-332662, CVE-2025-13323, GCVE-100-332662
  - ** vulnerable 应用程序**: CODE-PROJECTS Simple Pizza Ordering System 1.0
  - **漏洞类型**: SQL Injection (SQL注入)
  - **受影响的文件**: /listorder.php
  - **相关参数**: ID
  - **所需操作**: 需要登录进行进一步访问和详细信息
                                          

  

• 标题： Submit #691844: code-projects Simple Pizza Ordering System 1.0 SQL Injection -- 🔗来源链接

  标签：third-party-advisory

  神龙速读：

                                          ### 关键信息
  - **提交编号**: 691844
  - **项目名称**: code-projects Simple Pizza Ordering System 1.0
  - **漏洞类型**: SQL Injection
  - **警惕**: VulDB 社区内容可能存在风险，请谨慎使用提供的链接及信息。VulDB 对其内容及外部链接不负责。
  - **说明**: 待补充
  - **参考文档**
    - 提交策略
    - 数据处理
    - CVE 处理
  - **版权**: © 1997-2025 vuldb.com - cc by-nc-sa
                                          

  

• 标题： CVE-2025-13323 code-projects Simple Pizza Ordering System listorder.php sql injection -- 🔗来源链接

  标签：vdb-entrytechnical-description

  神龙速读：

                                          ## 关键漏洞信息
  
  - **漏洞ID**:
    - VDB-332662
    - CVE-2025-13323
    - GCVE-100-332662
  
  - **漏洞描述**:
    - 产品: `Code-Projects Simple Pizza Ordering System 1.0`
    - 文件: `/listorder.php`
    - 漏洞类型: SQL注入
    - 漏洞分类: 严重 (`critical`)
    - 影响功能: 未知功能的`ID`参数
    - 漏洞详情: 对`/listorder.php`文件中的`ID`参数进行未知输入的操控，可导致SQL注入漏洞。
  
  - **CVE编号**: CVE-2025-13323
  
  - **CWE编号**: CWE-89
  
  - **影响**:
    - 可能影响机密性、完整性和可用性。
  
  - **攻击方式**:
    - 可远程发起攻击。
    - 不需要身份验证即可成功利用。
    - 技术细节已公开，且存在公开利用代码。
  
  - **利用方式**:
    - 可通过GitHub下载利用代码，该代码被声明为概念验证。
    - 可通过Google Hacking搜索`inurl:listorder.php`找到易受攻击的目标。
  
  - **修复建议**:
    - 目前没有已知的缓解措施。
    - 建议用替代产品替换受影响对象。
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2025-13323

四、漏洞 CVE-2025-13323 的评论