平台
php
组件
phpgurukul-online-shopping-portal-project
修复版本
2.1.1
CVE-2026-5639 是一个存在于 PHPGurukul Online Shopping Portal Project 中的SQL注入漏洞。该漏洞允许攻击者通过操纵参数，在 /admin/update-image3.php 文件中执行恶意SQL代码，可能导致数据泄露或系统损坏。该漏洞影响版本 2.1，攻击者可以远程利用，且已公开利用代码。目前尚未发布官方修复补丁。
PHPGurukul Online Shopping Portal Project 2.1版本中发现了一个SQL注入漏洞（CVE-2026-5639）。此漏洞影响文件/admin/update-image3.php中一个未知的函数，特别是Parameter Handler组件。攻击者可以通过操纵'filename'参数来利用此缺陷，从而可能在门户数据库中执行恶意SQL代码。漏洞的严重程度在CVSS量表上评为6.3，表明存在中等风险。利用是远程的，这意味着攻击者可以从任何具有网络访问权限的位置利用此漏洞。发布有效的利用程序会大大增加攻击的风险。
此漏洞在于Parameter Handler组件在文件/admin/update-image3.php中如何处理'filename'参数。攻击者可以将恶意SQL代码注入到此参数中，然后将其对数据库执行。发布有效的利用程序意味着攻击者现在拥有一个经过验证的工具来利用此漏洞。这增加了脆弱系统成为攻击目标的可能性，尤其是在没有采取缓解措施的情况下。此漏洞的远程性质使其特别危险，因为攻击者无需访问服务器即可利用它。
Organizations and individuals using the PHPGurukul Online Shopping Portal Project version 2.1, particularly those hosting their own instances or using shared hosting environments, are at risk. Websites relying on this project for e-commerce functionality are especially vulnerable to data breaches and service disruption.
• php / server:
grep -r 'filename = $_POST['filename']' /var/www/html/admin/update-image3.php• php / server:
journalctl -u php-fpm | grep 'SQL injection attempt'• generic web:
curl -I <affected_url>/admin/update-image3.php?filename='; DROP TABLE users;--disclosure
漏洞利用状态
EPSS
0.01% (1% 百分位)
CISA SSVC
CVSS 向量
目前，PHPGurukul尚未为此漏洞提供官方修复程序（fix）。最有效的即时缓解措施是，一旦可用，就升级到Online Shopping Portal Project的较新版本。同时，建议实施所有用户输入（尤其是与文件名相关的输入）的严格输入验证和清理。此外，将对/admin/update-image3.php管理面板的访问限制为授权用户，并监控系统活动以查找可疑模式，可以帮助降低风险。还可以考虑使用Web应用程序防火墙（WAF）来过滤恶意流量。
Actualice el proyecto PHPGurukul Online Shopping Portal Project a una versión corregida. Verifique y sanee las entradas del usuario, especialmente el parámetro 'filename', para prevenir la inyección SQL. Implemente validación y escape adecuados de los datos antes de utilizarlos en consultas SQL.
漏洞分析和关键警报直接发送到您的邮箱。
这是一个用于标识此漏洞的唯一标识符，用于在不同的安全上下文中跟踪和引用它。
这是一个使用PHP创建在线购物门户的开源项目。
如果您正在使用Online Shopping Portal Project的2.1版本，那么您很可能容易受到攻击。进行安全审计以确认。
虽然没有特定的工具，但Web漏洞扫描器可以通常检测SQL注入。请检查源代码中是否存在漏洞。
隔离受影响的系统，更改所有用户密码，进行法医审计，并从干净的备份中恢复。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。