一、 漏洞 CVE-2026-1118 基础信息

                                        # itsourcecode 社会管理系统 add_activity.php SQL注入漏洞

## 概述
itsourcecode Society Management System 1.0 存在一个SQL注入漏洞，位于 `/admin/add_activity.php` 文件中对 `Title` 参数的处理逻辑。

## 影响版本
1.0

## 细节
攻击者可通过操纵 `Title` 参数执行SQL注入攻击，漏洞成因是未对用户输入进行有效过滤或转义。攻击可远程触发。

## 影响
远程攻击者可利用该漏洞执行任意SQL命令，可能导致数据泄露、数据篡改或数据库权限提升。该漏洞的利用方式已公开。
                                        

二、漏洞 CVE-2026-1118 的公开POC

三、漏洞 CVE-2026-1118 的情报信息

• 标题： itsourcecode Society Management System Project V1.0 /admin/add_activity.php SQL injection · Issue #2 · AriazzzZ/CVE -- 🔗来源链接

  标签：exploitissue-tracking

  神龙速读：

                                          ## 漏洞关键信息
  
  ### 影响的产品
  - Society Management System
  
  ### 漏洞文件
  - `/admin/add_activity.php`
  
  ### 版本
  - V1.0
  
  ### 漏洞类型
  - SQL注入
  
  ### 根源
  - 在`/admin/add_activity.php`文件的参数`title`中发现了SQL注入漏洞。攻击者可以注入恶意代码并直接在SQL查询中使用，而不需要适当的清理或验证，允许攻击者伪造输入值，操纵SQL查询并执行未经授权的操作。
  
  ### 影响
  - 攻击者可以利用此SQL注入漏洞实现未经授权的数据库访问、敏感数据泄露、数据篡改、全面的系统控制，甚至服务中断，对系统安全和业务连续性造成严重威胁。
  
  ### 描述
  - 在对"Society Management System"的安全审查中，在`/admin/add_activity.php`文件中发现了一个严重的SQL注入漏洞。该漏洞源于对`title`参数的不充分用户输入验证，允许攻击者注入恶意SQL查询。
  
  ### 漏洞详情和POC
  - **易受攻击的参数：** `title`  
  - **Payload示例：**
      - 布尔盲注类型，利用LIKE子句
      - 时间盲注类型，利用SLEEP函数
  
  ### 修复建议
  1. 使用预处理语句和参数绑定  
  2. 输入验证和过滤  
  3. 最小化数据库用户权限  
  4. 定期进行安全审计
                                          

  

• 标题： Itsourcecode.com - Partner In Your Coding Journey! -- 🔗来源链接

  标签：product

  

• 标题： Login required -- 🔗来源链接

  标签：signaturepermissions-required

  神龙速读：

                                          从提供的网页截图中，可以获取到以下关于漏洞的关键信息：
  
  ### 漏洞信息
  - **漏洞标识符**
    - VDB-341710
    - CVE-2026-1118
    - EUVD-2026-3180
  - **漏洞描述**
    - **漏洞名称**: ITSOURCECODE SOCIETY MANAGEMENT SYSTEM 1.0 / ADMIN/ADD_ACTIVITY.PHP TITLE SQL INJECTION
    - **漏洞类型**: SQL Injection
    - **受影响组件或路径**: `/admin/add_activity.php` 中的 `title` 参数
  - **访问权限**
    - 需要登录才能访问详细信息，登录后可查看完整漏洞描述、历史、差异、相关性等。
  
  ### 其他信息
  - **网站功能**
    - 网站提供Recent, Activities, Analysis, Events, Actors, Country, Knowledge Base等功能标签。
    - 页面底部显示网站遵循的版权协议（CC BY-NC-SA）和版本信息（v19.25.0）。
  
  若需要进一步了解此漏洞的详细信息，需登录或注册该平台账号。
                                          

  

• 标题： Submit #734289: itsourcecode Society Management System V1.0 SQL injection -- 🔗来源链接

  标签：third-party-advisory

  神龙速读：

                                          - **Title**: itsourcecode Society Management System V1.0 SQL injection
  - **Description**: During the security review of "Society Management System", a critical SQL injection vulnerability was discovered in the "/admin/add_activity.php" file. This vulnerability stems from insufficient user input validation of the 'title' parameter, allowing attackers to inject malicious SQL queries. Immediate remedial measures are needed to ensure system security and protect data integrity.
  - **Source**: ![](https://github.com/AriazzZ/CVE/issues/2)
  - **User**: shuyi123 (UID 94274)
  - **Submission**: 01/08/2026 10:20 AM (12 days ago)
  - **Moderation**: 01/17/2026 07:11 PM (9 days later)
  - **Status**: Accepted
  - **VulDB entry**: [34170](https://vuldb.com/?id.34170) [itsourcecode Society Management System 1.0 /admin/add_activity.php Title sql injection]
  - **Points**: 20
                                          

  
• https://vuldb.com/?id.341710vdb-entrytechnical-description
• https://nvd.nist.gov/vuln/detail/CVE-2026-1118

四、漏洞 CVE-2026-1118 的评论