ZZCMS是一款用于搭建招商网站的CMS系统,由PHP语言开发。
国家信息安全漏洞共享平台于2024-11-06公布其存在SQL注入漏洞。
漏洞编号:CNVD-2024-43213、CVE-2024-10291
影响产品:ZZCMS 2023
漏洞级别:中
公布时间:2024-11-06
漏洞描述:漏洞位于源文件“/Ebak5.1/upload/phome.php”中的参数“phome”,缺少对外部输入SQL命令的安全验证,黑客可利用该漏洞执行SQL注入攻击,篡改数据库或拖库等非法操作。
解决办法:
准确说,这个漏洞不是ZZCMS自身的注入漏洞,而是其自带的Ebak(帝国备份王)存在的注入漏洞。解决起来也很简单:删除 /Ebak5.1/ 目录即可。
如果您不想删除,则建议使用 护卫神·防入侵系统,自带SQL注入防护功能,可有效拦截黑客SQL注入攻击(效果如下图)。
(拦截SQL注入效果图)