【安全圈】aaPanel（寶塔面板）數(shù)據(jù)庫權(quán)限查詢邏輯存在 SQL 注入漏洞

關(guān)鍵詞

漏洞

CVE-2025-12914 漏洞修復(fù)說明 一、漏洞概述

外部安全平臺(tái)披露了與寶塔面板相關(guān)的CVE-2025-12914漏洞信息。 該漏洞出現(xiàn)在舊版本的數(shù)據(jù)庫權(quán)限查詢邏輯中，由于對(duì)輸入?yún)?shù)校驗(yàn)不足，可能在特定條件下觸發(fā) SQL 注入風(fēng)險(xiǎn)。

該漏洞無法被未授權(quán)遠(yuǎn)程用戶直接利用，需要滿足較高的權(quán)限條件后才可能觸發(fā)。

二、影響范圍

面板版本

狀態(tài)

≤ 11.2.x

受影響

11.3.0 起已修復(fù)，不受影響三、漏洞利用條件與風(fēng)險(xiǎn)說明

漏洞僅在攻擊者已具備以下權(quán)限時(shí)可能被利用：

• 已登錄寶塔面板后臺(tái)（任意管理員賬號(hào)）
• 或已獲取寶塔面板 API AccessKey（等同后臺(tái)權(quán)限）

在未授權(quán)訪問的情況下，該漏洞無法觸發(fā)，因此實(shí)際風(fēng)險(xiǎn)有限。

四、修復(fù)情況

該問題已在11.3.0中完成修復(fù)，包括：

• 將字符串拼接的 SQL 查詢改為參數(shù)化查詢

• 增強(qiáng)輸入校驗(yàn)與異常處理

• 完整阻斷該類型注入風(fēng)險(xiǎn)

原始代碼存在字符串拼接，例如：

users = mysql_obj.query("select Host from mysql.user where User='"+ name +"' AND Host!='localhost'")

更新后，已改為參數(shù)化寫法：

sql ="select Host from mysql.user where User=%s AND Host!='localhost'"
users = mysql_obj.query(sql, param=(name,))

此方式能確保用戶輸入不會(huì)被解釋為 SQL 指令，從根源上避免注入。

六、致謝

感謝向我們提交漏洞信息的安全研究人員，對(duì)寶塔面板安全改進(jìn)提供了寶貴幫助。

七、處理建議

建議所有用戶升級(jí)至11.3.0 或更新版本。 如暫時(shí)無法升級(jí)，可采?。?/p>

• 限制面板訪問來源 IP

• 啟用雙因素認(rèn)證

• 檢查面板 API 與 MySQL 日志

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！