CVE-2026-33616：mbCONNECT24盲注SQL注入漏洞 (CVSS 7.5)

CVE-2026-33616 在 mbCONNECT24 中代表着一个关键的安全风险。未经身份验证的远程攻击者可以利用 mb24api 端点中的盲 SQL 注入漏洞，这是由于 SQL SELECT 命令中特殊元素未得到适当的消除造成的。成功利用此漏洞可能导致存储数据的机密性完全丧失，包括客户和运营敏感信息。CVSS 严重程度评分为 7.5，表明风险较高。缺乏可用的修复程序加剧了这种情况，需要立即采取措施来降低风险。

Organizations utilizing mbCONNECT24 for heating system management, particularly those with internet-exposed instances or those using default configurations, are at significant risk. Shared hosting environments where multiple customers share the same mbCONNECT24 instance are especially vulnerable, as a compromise of one customer could potentially impact others.

• linux / server:

journalctl -u mbCONNECT24 -g "SQL injection"

• generic web:

curl -I <mbCONNECT24_endpoint> | grep -i "SQL injection"

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-09

由于供应商未针对 CVE-2026-33616 提供官方修复程序，因此使用 mbCONNECT24 的组织必须实施替代的风险缓解措施。这些措施包括对 mb24api 端点进行网络分段以限制访问，部署 Web 应用程序防火墙 (WAF) 以过滤恶意流量，以及持续监控端点是否存在可疑活动。应应用定期安全审计和最小权限原则以减少攻击面。强烈建议联系 mbCONNECT24 供应商以请求安全更新并报告漏洞。如果 mb24api 端点对运营并非至关重要，请考虑暂时禁用它。