code-projects 在线 FIR 系统 Login checklogin.php SQL 注入

code-projects 的 Online FIR 系统 1.0 版本中发现了一个 SQL 注入漏洞。该漏洞影响了 Login 组件中 /Login/checklogin.php 文件的未知功能。攻击者可以通过操纵 'email' 和 'password' 参数来利用此漏洞，从而可能导致未经授权的数据库访问、数据修改或删除，甚至可以在服务器上执行命令。该漏洞的严重程度根据 CVSS 评分为 7.3，表明存在重大风险。漏洞的公开披露以及易于利用进一步增加了攻击的风险。由于开发人员未提供修复程序，因此系统用户必须立即采取措施来减轻此漏洞至关重要。

Organizations utilizing the Online FIR System for reporting crimes, particularly those relying on version 1.0.0–1.0, are at significant risk. Shared hosting environments where multiple applications share the same database server are also particularly vulnerable, as a successful attack on one application could compromise the entire database.

• php: Examine web server access logs for suspicious requests targeting /Login/checklogin.php with unusual characters in the email or password parameters.

grep -i 'email=[^a-zA-Z0-9@._-]*|password=[^a-zA-Z0-9@._-]*' /var/log/apache2/access.log

• php: Search the codebase for instances of direct SQL queries using user-supplied input without proper sanitization. • generic web: Use a vulnerability scanner to identify SQL injection vulnerabilities in the Online FIR System. • generic web: Monitor network traffic for unusual database queries originating from the Online FIR System server.

1. 2026-04-06Disclosure

   disclosure

1. 已保留2026-04-06
2. 发布日期2026-04-06
3. EPSS 更新日期2026-04-14

由于 code-projects 未提供官方修复程序，因此减轻此 SQL 注入漏洞需要积极主动和手动的方法。强烈建议使用强大的清理和验证技术审查和验证所有用户输入，尤其是 'email' 和 'password' 字段。实施参数化查询或存储过程是防止 SQL 注入的关键实践。此外，将数据库访问限制为仅必要的用户和帐户，并应用最小权限原则。积极监控系统日志以查找可疑活动也很重要。如果可用，请考虑升级到更安全的软件版本，或寻找不受此类攻击影响的替代解决方案。