CVE-2018-25202：SAT CFDI 3.3 SQL注入漏洞

CVE-2018-25202 在 SAT CFDI 3.3 中存在一个 SQL 注入漏洞，位于 'signIn' 端点。此漏洞允许攻击者通过 'id' 参数注入恶意 SQL 代码，从而可能损害数据库的机密性和完整性。攻击者可以使用基于布尔值的盲 SQL 注入技术（堆栈查询或基于时间的盲 SQL 注入）来提取敏感信息，例如用户凭据、财务数据或存储在数据库中的任何其他信息。由于没有可用的修复程序，情况变得更加严重，使系统容易受到攻击。 攻击成功可能导致数据丢失、记录篡改以及未经授权的系统访问。

Organizations utilizing SAT CFDI version 3.3, particularly those with sensitive data stored within the application's database, are at risk. Shared hosting environments where multiple users share the same SAT CFDI instance are also particularly vulnerable, as a compromise of one user's account could potentially lead to the compromise of the entire system.

• linux / server:

journalctl -u satcfdi -g "SQL injection"

• generic web:

curl -X POST -d "id='; DROP TABLE users;--" https://<satcfdi_server>/signIn | grep -i "error"

• database (mysql):

mysql -u <user> -p -e "SHOW GRANTS FOR '<user>'@'%'"

1. 2026-03-26Disclosure

   disclosure

1. 已保留2026-03-26
2. 发布日期2026-03-26
3. EPSS 更新日期2026-04-02

由于 CVE-2018-25202 没有官方修复程序，因此使用 SAT CFDI 3.3 的组织必须立即实施缓解措施。 这些措施包括严格验证和清理所有用户输入，特别是 'signIn' 端点的 'id' 参数。 如果可用，强烈建议升级到 SAT CFDI 的补丁版本。 此外，实施 Web 应用程序防火墙 (WAF) 可以帮助阻止 SQL 注入攻击。 积极监控系统日志以查找可疑活动对于检测和响应潜在的利用尝试至关重要。 定期的安全审计和渗透测试也有助于识别和解决其他漏洞。