概述

CVE-2022-4984是一个影响ZenTao项目管理软件的高危SQL注入漏洞，CVSS评分为8.7分。

漏洞描述

ZenTao Biz < 6.5、ZenTao Max < 3.0、ZenTao开源版 < 16.5和ZenTao开源版 < 16.5.beta1版本在登录功能中存在SQL注入漏洞。应用程序在使用/zentao/user-login.html页面的account参数进行数据库查询前，未对其进行适当验证。远程未认证攻击者可利用此问题执行精心构造的SQL表达式，从后端数据库检索敏感信息，包括用户和应用程序数据。Shadowserver基金会于2025年2月7日UTC时间观测到该漏洞的利用证据。

漏洞时间线

• 发布日期：2025年11月13日晚上8:15
• 最后修改日期：2025年11月13日晚上8:15
• 远程利用：是
• 漏洞来源：disclosure@vulncheck.com

受影响产品

目前尚未记录受影响的具体产品信息。

CVSS评分

解决方案

更新ZenTao到修复登录功能SQL注入漏洞的版本：

• 更新ZenTao到16.5或更高版本
• 更新ZenTao Biz到6.5或更高版本
• 更新ZenTao Max到3.0或更高版本
• 应用供应商提供的补丁（如果可用）

参考链接

• https://www.cnvd.org.cn/flaw/show/CNVD-2022-42853
• https://www.vulncheck.com/advisories/zentao-biz-max-and-open-source-edition-sqli-via-user-login
• https://www.zentao.pm/download/zentao-community-edition-release-165-1170.html
• https://www.zentao.pm/download/zentao-community-edition-release-1651-1143.html
• https://www.zentao.pm/download/zentao-community-edition-release-30-1172.html
• https://www.zentao.pm/download/zentao-community-edition-release-65-1171.html

CWE关联

CWE-89: SQL命令中使用的特殊元素中和不当（SQL注入）

CAPEC攻击模式

• CAPEC-7: 盲SQL注入
• CAPEC-66: SQL注入
• CAPEC-108: 通过SQL注入执行命令行
• CAPEC-109: 对象关系映射注入
• CAPEC-110: 通过SOAP参数篡改进行SQL注入
• CAPEC-470: 从数据库扩展对操作系统的控制

漏洞历史记录

新CVE接收：由disclosure@vulncheck.com于2025年11月13日