CVE-2025-15211 - code-projects难民食品管理系统refugee.php SQL注入漏洞
概述
CVE-2025-15211是一个在code-projects难民食品管理系统1.0版本中发现的漏洞。该漏洞的CVSS 2.0评分为6.5（中危）。
漏洞描述
在code-projects难民食品管理系统1.0中发现一个缺陷。受影响的是文件/home/refugee.php中的一个未知功能。对参数refNo、Fname、Lname、sex、age、contact、nationality_nid进行操作可导致SQL注入。攻击可以远程执行。漏洞利用代码已公开，并可能被利用。
漏洞时间线
- 发布日期：2025年12月30日 01:15
- 最后修改日期：2025年12月30日 01:15
- 远程利用：是
- 来源：cna@vuldb.com
受影响产品 目前尚未记录受影响的产品。总受影响供应商：0 | 产品：0
CVSS评分
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 6.5 | CVSS 2.0 | 中危 | 8.0 | 6.4 | cna@vuldb.com | |
| 6.3 | CVSS 3.1 | 中危 | 2.8 | 3.4 | cna@vuldb.com | |
| 5.3 | CVSS 4.0 | 中危 | cna@vuldb.com |
解决方案 通过净化输入和使用参数化查询来修复SQL注入漏洞。
- 净化所有用户输入以防止SQL注入。
- 使用参数化查询或预处理语句。
- 验证并净化
refNo、Fname、Lname、sex、age、contact、nationality_nid参数。 - 审查并更新
/home/refugee.php文件。
参考链接（公告、解决方案和工具）
CWE - 通用缺陷枚举 CVE-2025-15211与以下CWE相关联：
- CWE-74：输出中特殊元素的不当中和（‘注入’）
- CWE-89：SQL命令中使用的特殊元素的不当中和（‘SQL注入’）
通用攻击模式枚举和分类 以下是与CVE-2025-15211弱点相关的攻击模式（CAPEC）列表（节选）：
- CAPEC-66: SQL注入
- CAPEC-7: 盲SQL注入
- CAPEC-3: 使用前导“幽灵”字符序列绕过输入过滤器
- CAPEC-6: 参数注入
- CAPEC-108: 通过SQL注入执行命令行
- …（列表中还包含缓冲区溢出、编码绕过、各种其他注入模式等相关攻击模式）
漏洞历史记录
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | 在code-projects难民食品管理系统1.0中发现一个缺陷。受影响的是文件/home/refugee.php中的一个未知功能。对参数refNo/Fname/Lname/sex/age/contact/nationality_nid进行操作可导致sql注入。攻击可以远程执行。漏洞利用代码已公开，并可能被使用。 |
|
| 添加 | CVSS V4.0 | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L | |
| 添加 | CVSS V2 | (AV:N/AC:L/Au:S/C:P/I:P/A:P) | |
| 添加 | CWE | CWE-89 | |
| 添加 | CWE | CWE-74 | |
| 添加 | 参考链接 | https://code-projects.org/ | |
| 添加 | 参考链接 | https://github.com/YZS17/CVE/blob/main/Refugee%20Food_Management_System/sqli_refugee.php.md | |
| 添加 | 参考链接 | https://vuldb.com/?ctiid.338597 | |
| 添加 | 参考链接 | https://vuldb.com/?id.338597 | |
| 添加 | 参考链接 | https://vuldb.com/?submit.722806 |
漏洞评分详情
- CVSS 4.0 基础分数：5.3
- 攻击向量：网络
- 攻击复杂度：低
- 攻击前提：无
- 所需权限：低
- 用户交互：无
- 漏洞影响范围：系统
- 机密性影响：低
- 完整性影响：低
- 可用性影响：低
- 后续影响范围：无变化
- CVSS 3.1 基础分数：6.3
- 攻击向量：网络
- 攻击复杂度：低
- 所需权限：低
- 用户交互：无
- 影响范围：未更改
- 机密性影响：低
- 完整性影响：低
- 可用性影响：低
- CVSS 2.0 基础分数：6.5
- 访问向量：网络
- 访问复杂度：低
- 身份验证：单次
- 机密性影响：部分
- 完整性影响：部分
- 可用性影响：部分