关键信息总结 漏洞概述 CVE ID: CVE-2025-10878 产品: Fikir Odalari AdminPando 厂商: [REDACTED] Insaat A.Ş. 漏洞URL: https://[REDACTED].com.tr/admin 影响版本: v1.0.1 及可能更早版本 漏洞类型: CWE-89: SQL 注入 CVSS v3.1 评分: 10.0 (Critical) CVSS 向量: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 修复日期: 2026-01-26 研究员: Onurcan Genç 描述 登陆功能存在SQL注入漏洞，允许未授权的攻击者完全绕过认证。 成功利用该漏洞可获得应用程序的完全管理权限，包括对面向公众的网站内容（HTML/DOM操作）进行操纵。 CVSS v3.1 评分 向量: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 基础评分: 10.0 (Critical) 作用范围: 变更 (S:C) 攻击流程 1. 攻击者利用SQLi攻击 登陆页面。 2. 攻击者获得管理控制台访问权。 3. 管理控制台提供对面向公众的网站的完全HTML/DOM控制。 4. 面向公众的网站访客接收被操纵的内容。 影响区域 username（文本输入） password（密码输入） 概念验证 1. 发现：使用目录枚举发现 端点，确认两个易受到SQL注入的输入字段。 2. 利用：有效载荷 攻击登陆。 3. 结果：验证通过，获得管理界面访问。 威胁后果 认证完全失效。 非授权管理权限掌控。 完全面向公众的HTML/DOM网站控制。 修复 厂商已在2026年1月26日修补漏洞，用户须更新至最新版本。 推荐参考 MITRE CVE记录 NVD条目