关键信息 漏洞概述 漏洞名称: 通过恶意MySQL服务器的漏洞任意访问客户端文件 CVE ID: CVE-2025-62611 CVSS v4 基本度量: - 严重性: 高 (8.2/10) - 攻击向量: 网络 - 攻击复杂度: 低 - 攻击需求: 存在 - 特权要求: 无 - 用户交互: 无 影响范围 受影响版本: <=0.2.0 修复版本: 0.3.0 描述 摘要: 在将本地文件发送到MySQL服务器之前，不会检查客户端设置，这允许使用恶意服务器从客户端获取任意文件。 详细信息: 可以创建一个忽略客户端标志并请求任意文件的恶意MySQL服务器，通过发送LOAD_LOCAL指令包。 PoC (概念验证) 步骤: 1. 创建要被窃取的文件: 2. 克隆仓库: 3. 构建服务器: 4. 生成样本配置: 5. 修改配置文件: 更改 到 6. 运行服务器: 影响 此漏洞影响需要连接到不可信MySQL服务器的产品和环境，或可能被其破坏。 修复建议 可以通过移植PyMySQL的相关更改来修复此漏洞。