漏洞概述 CVE-2026-52673 是一个 SQL 注入漏洞，存在于 CBoard 的 端点。该漏洞允许攻击者通过构造恶意 SQL 查询来执行任意数据库操作或绕过逻辑检查。 影响范围 CBoard v0.4.2 及更早版本受此漏洞影响。 修复方案 更新版本：升级到 CBoard 的最新版本，以修复该漏洞。 参数化查询：确保所有 SQL 查询使用参数化查询，避免直接拼接用户输入。 输入验证：对输入数据进行严格的验证和过滤，防止恶意 SQL 注入。 POC 代码 漏洞详情 该接口允许用户提交 SQL 查询配置。在处理过程中，后端直接拼接用户提供的 SQL 或列名表达式，并通过 JDBC Statement.executeQuery() 执行。由于缺乏有效的 SQL 结构和列名表达式白名单验证，攻击者可以构造恶意 SQL 来执行任意数据库操作。测试端点 的 payload 为 。后端计算并返回结果 18，验证了 表达式被拼接到最终 SQL 语句中并执行，而不是作为普通字符串处理。攻击者可以利用此漏洞提取数据库中存储的敏感数据。