一、 漏洞 CVE-2026-1059 基础信息
漏洞信息
# FeMiner wms chkuser.php SQL注入漏洞
## 概述
FeMiner wms 存在一个SQL注入漏洞，影响提交版本号为 9cad1f1b179a98b9547fd003c23b07c7594775fa 及之前的版本。漏洞位于 `/src/chkuser.php` 文件中，由 `Username` 参数的不当处理引发，可被远程利用。
## 影响版本
所有版本号小于或等于 9cad1f1b179a98b9547fd003c23b07c7594775fa 的 FeMiner wms 版本。由于产品采用滚动发布策略，无法提供具体的版本号信息。
## 细节
- 漏洞文件：`/src/chkuser.php`
- 漏洞参数：`Username`
- 漏洞类型：SQL注入
- 利用方式：远程攻击
- 利用状态：已有公开的利用代码，可能被实际使用
## 影响
攻击者可通过构造恶意 `Username` 参数执行任意SQL命令，可能导致敏感数据泄露、数据篡改或数据库权限被获取。厂商已提前被告知漏洞但未回应。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
FeMiner wms chkuser.php sql injection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A security vulnerability has been detected in FeMiner wms up to 9cad1f1b179a98b9547fd003c23b07c7594775fa. Affected by this vulnerability is an unknown functionality of the file /src/chkuser.php. The manipulation of the argument Username leads to sql injection. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. The vendor was contacted early about this disclosure but did not respond in any way.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-1059 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-1059 的情报信息
标题： Sourcecodester SQL injection of the username parameter in the wms management system /blob/master/src/chkuser.php · Issue #1 · wangchaoxing/CVE -- 🔗来源链接
标签：exploitissue-tracking
神龙速读：以下是從網頁截圖中獲取到的關於漏洞的簡潔 Markdown 格式關鍵信息： ```markdown ## 漏洞信息概述 ### 產品名稱 - WMS企業倉庫管理系統 ### 漏洞文件 - `/blob/master/src/chkuser.php` ### 影響版本 - V1.0 ### 漏洞類型 - SQL注入 ### 成因 - 在 `chkuser.php` 文件中，'username' 參數未進行適當的清理或驗證，直接用於SQL查詢，導致SQL注入。 ### 影響 - 攻擊者可利用此漏洞獲取未經授權的數據庫訪問權，導致敏感數據泄露、數據篡改、系統控制等嚴重威脅。 ### 漏洞描述與利用 - `username` 參數存在SQL注入漏洞，無需登錄即可利用。 - 提供了POC（概念驗證）代碼和SQLMap工具測試截圖。 ### 修復建議 1. 使用預編譯語句和參數綁定。 2. 嚴格驗證和過濾用戶輸入。 3. 最小化數據庫用戶權限。 4. 定期進行安全審計。 ```
标题： Login required -- 🔗来源链接
标签：signaturepermissions-required
神龙速读：- 漏洞编号: VDB-341628, CVE-2026-1059, EUVD-2026-3132 - 漏洞描述: FEMINER WMS UP TO 9CAD1F1B179A98B9547FD003C23B07C7594775FA /SRC/CHKUSER.PHP USERNAME SQL INJECTION - 需要登录才能访问详细信息
- https://vuldb.com/?id.341628vdb-entrytechnical-description
- https://vuldb.com/?submit.731236third-party-advisory
- https://nvd.nist.gov/vuln/detail/CVE-2026-1059
四、漏洞 CVE-2026-1059 的评论
暂无评论