关键信息总结 受影响产品 名称: Teacher Subject Allocation Management System 版本: V1.0 厂商主页: https://phpgurukul.com/teacher-subject-allocation-system-source-code-in-php/ 漏洞文件: /admin/edit-teacher-info.php 漏洞类型 类型: SQL注入 根因 由于在 文件中对用户输入的参数 缺乏适当的验证和过滤，导致SQL注入漏洞。 影响 攻击者可以利用此漏洞绕过身份验证、篡改数据、执行任意SQL查询、获取敏感信息，甚至可能完全控制系统。 描述 在对Teacher Subject Allocation Management System的安全评估过程中，检测到一个严重的SQL注入漏洞。该漏洞是由于对用户输入的 参数未进行充分验证和过滤引起的。攻击者可以通过构造恶意SQL语句来访问数据库、修改或删除数据、获取敏感信息。 漏洞细节和POC 漏洞位置: 参数 Payload示例: - 请求包示例: 建议修复措施 1. 使用预编译语句和参数绑定。 2. 对输入数据进行严格的验证和过滤。 3. 最小化数据库用户权限。