关键漏洞信息 CVE编号 CVE-2025-14598 CVSS评分 9.8 (Critical) 漏洞类型 SQL注入导致远程代码执行 受影响产品 产品: BET e-Portal 厂商: BeeS Software Solutions Pvt Ltd 部署环境: 该软件广泛部署于教育机构，用于学生信息和考试成绩管理。 漏洞概述 在BET e-Portal的登录功能中存在SQL注入漏洞。由于输入验证不足，用户提供的登录数据被直接包含在SQL查询中，导致远程代码执行。 影响总结 读取、修改或删除数据库记录 提取敏感学生数据 修改考试成绩或内部记录 执行任意SQL命令 在某些环境下执行OS级别命令 技术细节 1. 输入向量: 漏洞源于应用程序登录表单，用户名和密码字段直接以动态SQL语句形式传递给数据库后端。 2. 根本原因: 未正确处理未被充分验证或参数化的输入，导致SQL查询可以被篡改。 3. 利用路径: 攻击者提交伪造输入，应用无验证嵌入SQL查询，数据库执行攻击者控制的SQL，未授权获取数据，进一步通过附加SQL查询实现权限提升。 4. 部署导致RCE原因: 某些产品配置启用了SQL Server的功能如xp_cmdshell，增加了SQL注入风险。 补丁评估与修复 初始修复尝试仅解决部分输入路径，不完全修复漏洞。最终补丁通过CERT/CC协调完成全面修补。 严重性与影响 CVSS评分9.8（严重），SQL注入类型，潜在影响重大。 分别在机密性、完整性、可用性方面有高风险，可能造成RCE。 减缓措施 使用参数化查询或预编译语句 强制输入验证 应用最小权限原则 禁用高风险数据库功能（如xp_cmdshell） 实施日志记录与监控 定期安全测试 发现者 Mohammed Afnaan Ahmed (www.afnaan.me) 协调披露 CERT/CC (CERT Coordination Center) 参考链接 CERT/CC 漏洞说明 CVE记录 研究员博客文章 研究员GitHub说明