Code-Projects Mobile Shop SQL注入CVE-2025-7459

Code-Projects Mobile Shop是个网上商店，顾客在这里可以获得他们感兴趣的手机的信息，包括两个主要组件，分别是管理端和用户端。

Code-Projects是一个基于PHP、CSS、JavaScript和MYSQL免费分享的移动商店，系统基于网络，应用程序基于PHP和MYSQL实现的。

一、基本情况

消费者希望在购买产品之前，获得有关手机的适当信息如产品品牌、价格、型号、发布日期、摄像头空间、内存空间、CPU、网络空间等。

Code-Projects平台提供的Mobile Shop 1.0版本可以提供这样的服务，可以为消费者提供手机产品的各种参数分析、参数对比、价格比对。

栋科技漏洞库关注到Code-Projects Mobile Shop受影响的版本中存在SQL注入漏洞，漏洞现已被追踪为CVE-2025-7459，CVSS评分7.3。

二、漏洞分析

CVE-2025-7459漏洞是CodeProject Mobile Shop 1.0版本中被发现的SQL注入漏洞，操纵参数ID可能导致SQL注入，攻击可以远程发起。

CVE-2025-7459高危漏洞具体影响应用商店产品未知代码的文件 /EditMobile.php，由安全人员xiajian在审查该项目的代码时发现并披露。

攻击者从参数“ID”中注入恶意代码并直接在SQL查询中使用而无需适当清理或验证，攻击者可伪造输入值操纵SQL查询和执行未授权操作。

利用漏洞库可实现对数据库非授权访问、敏感数据泄露、数据篡改、全面控制系统甚至服务中断，对系统安全和业务连续性构成严重威胁。

建议厂商通过如下方式处理：

1、使用准备好的语句和参数绑定：

准备语句可以防止SQL注入，因为它们将SQL代码与用户输入数据分开。

使用prepare语句时，用户输入的值被视为纯数据，不会被解释为SQL代码。

2、输入验证和过滤：

严格验证和过滤用户输入数据，以确保它符合预期的格式。

3、最小化数据库用户权限：

确保用于连接到数据库的帐户具有最低的必要权限。避免使用具有高级权限(如“root”或“admin”)的帐户进行日常操作。

4、定期安全审计：

定期进行代码和系统安全审计，及时发现和修复潜在的安全漏洞。

三、POC概念验证

1、利用此漏洞不需要登录或授权

管理员已设置登录后刷新可查看

2、以下是通过测试和运行sqlmap工具获得的一些特定信息的屏幕截图：

sqlmap -u "http://127.0.0.1/MobileShop-master/EditMobile.php " --data="ID" --dbs

四、影响范围

Code-Projects Mobile Shop V1.0

五、修复建议

截止目前官方尚未发布安全更新，请等待最新版本发布，完成漏洞的修复

六、参考链接

管理员已设置登录后刷新可查看