SQL 注入漏洞总结（Activity.getlist） 漏洞概述 漏洞类型：SQL 注入（基于报错） CVSS 评分：7.5（高危） 影响组件： 文件中的 函数 根本原因： 参数未定义在 API 方法签名中，且未进行注册或验证，导致绕过 Twig 框架的变量过滤机制，直接拼接到 SQL 查询中。 影响范围 受影响版本：Piwigo 16.2 及更早版本 受影响平台：Piwigo 16.2 受影响组件： 受影响端点： 受影响请求类型：GET（管理员权限） 数据库版本：MariaDB 11.8.5 修复方案 已修复版本：无（截至截图时间） 建议措施： - 升级至最新稳定版（若已发布修复） - 手动修复 中 函数，确保所有参数（尤其是 ）在 API 方法签名中明确定义并经过验证 - 避免将用户输入直接拼接到 SQL 查询中，使用参数化查询或预处理语句 其他信息 披露时间：2024年2月2日 报告者：@hacker4u1238 相关 CWE：CWE-89（SQL 注入）、CWE-79（跨站脚本）等 漏洞详情链接：Piwigo 官方漏洞页面 > ⚠️ 注意：此漏洞允许攻击者以管理员身份执行任意 SQL 查询，可窃取、篡改或删除数据库内容。