ResourceSpace 8.6 在 collection_edit.php 中存在 SQL 注入漏洞

该SQL注入漏洞允许攻击者绕过身份验证，直接访问 ResourceSpace 的数据库。攻击者可以利用此漏洞执行任意SQL查询，从而获取数据库中的敏感信息，例如用户凭据（用户名和密码）、个人信息、财务数据以及其他机密数据。更严重的后果是，攻击者可能修改数据库内容，篡改数据，甚至完全控制数据库服务器。由于 ResourceSpace 通常用于内容管理和文件存储，因此该漏洞可能导致大规模数据泄露和系统瘫痪。攻击者还可以利用获取的数据库信息进行横向移动，攻击同一网络中的其他系统。

Organizations using ResourceSpace 8.6, particularly those with sensitive data stored in their databases, are at risk. Environments with weak password policies or compromised user accounts are especially vulnerable, as an attacker could leverage these credentials to exploit the SQL injection flaw.

• php / server:

grep -r 'keywords parameter in collection_edit.php' /var/www/html/

• generic web:

curl -X POST -d "keywords='; DROP TABLE users;--" http://your-resourcespace-instance/collection_edit.php | grep -i 'error in your query'

1. 2026-04-12Disclosure

   disclosure

1. 已保留2026-04-05
2. 发布日期2026-04-12
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-20

针对 CVE-2019-25693，首要措施是升级至修复后的 ResourceSpace 版本。如果无法立即升级，可以考虑以下缓解措施：首先，限制对 collection_edit.php 文件的访问，只允许授权用户访问。其次，实施严格的输入验证和过滤，防止恶意SQL代码注入。可以使用Web应用防火墙（WAF）来检测和阻止SQL注入攻击。此外，定期备份数据库，以便在发生安全事件时能够快速恢复数据。如果无法升级，可以尝试修改 ResourceSpace 的配置文件，禁用或限制 keywords 参数的功能，但这可能影响系统的正常使用。