概述
CVE-2025-13076是一个在code-projects Responsive Hotel Site 1.0中发现的SQL注入漏洞。该漏洞的CVSS 2.0评分为5.8（中危），攻击者可远程利用此漏洞。
漏洞描述
在code-projects Responsive Hotel Site 1.0中发现了一个安全缺陷。受影响的组件是文件/admin/usersetting.php中的一个未知函数。对参数usname进行操作可能导致SQL注入攻击。该攻击可以远程执行，且漏洞利用代码已公开，可能被恶意使用。
漏洞时间线
- 发布日期：2025年11月12日 23:15
- 最后修改：2025年11月12日 23:15
- 远程利用：是
- 来源：cna@vuldb.com
受影响产品
以下产品受到CVE-2025-13076漏洞影响：
| ID | 供应商 | 产品 | 操作 |
|---|---|---|---|
| 1 | Fabian | responsive_hotel_site |
受影响供应商总数：1 | 产品总数：1
CVSS评分
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 5.8 | CVSS 2.0 | 中危 | 6.4 | 6.4 | cna@vuldb.com | |
| 4.7 | CVSS 3.1 | 中危 | 1.2 | 3.4 | cna@vuldb.com | |
| 5.1 | CVSS 4.0 | 中危 | cna@vuldb.com |
解决方案
通过验证和清理用户输入到usersetting.php脚本的数据来修复SQL注入漏洞：
- 清理所有输入到’usname’参数的数据
- 根据预期格式验证’usname'
- 为数据库查询实施预处理语句
- 更新usersetting.php脚本
参考链接
- https://code-projects.org/
- https://github.com/zhizi1234/cve/blob/main/tmp70/report.md
- https://vuldb.com/?ctiid.332207
- https://vuldb.com/?id.332207
- https://vuldb.com/?submit.682867
CWE关联
CVE-2025-13076与以下CWE相关：
- CWE-74：输出中特殊元素的不当中和（注入）
- CWE-89：SQL命令中特殊元素的不当中和（SQL注入）
攻击模式分类
该漏洞涉及多种攻击模式，包括：
- CAPEC-3：使用前导"幽灵"字符序列绕过输入过滤器
- CAPEC-6：参数注入
- CAPEC-7：盲SQL注入
- CAPEC-66：SQL注入
- CAPEC-108：通过SQL注入执行命令行
漏洞历史记录
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 新增 | 描述 | 在code-projects Responsive Hotel Site 1.0中发现漏洞… | |
| 新增 | CVSS V4.0 | AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | |
| 新增 | CVSS V3.1 | AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L | |
| 新增 | CVSS V2 | (AV:N/AC:L/Au:M/C:P/I:P/A:P) | |
| 新增 | CWE | CWE-89 | |
| 新增 | CWE | CWE-74 | |
| 新增 | 参考 | https://code-projects.org/ | |
| 新增 | 参考 | https://github.com/zhizi1234/cve/blob/main/tmp70/report.md | |
| 新增 | 参考 | https://vuldb.com/?ctiid.332207 | |
| 新增 | 参考 | https://vuldb.com/?id.332207 | |
| 新增 | 参考 | https://vuldb.com/?submit.682867 |