關(guān)鍵詞

漏洞

CVE-2025-12914 漏洞修復說明 一、漏洞概述

外部安全平臺披露了與寶塔面板相關(guān)的CVE-2025-12914漏洞信息。 該漏洞出現(xiàn)在舊版本的數(shù)據(jù)庫權(quán)限查詢邏輯中，由于對輸入?yún)?shù)校驗不足，可能在特定條件下觸發(fā) SQL 注入風險。

該漏洞無法被未授權(quán)遠程用戶直接利用，需要滿足較高的權(quán)限條件后才可能觸發(fā)。

二、影響范圍

面板版本

狀態(tài)

≤ 11.2.x

受影響

11.3.0 起已修復，不受影響三、漏洞利用條件與風險說明

漏洞僅在攻擊者已具備以下權(quán)限時可能被利用：

• 已登錄寶塔面板后臺（任意管理員賬號）
• 或已獲取寶塔面板 API AccessKey（等同后臺權(quán)限）

在未授權(quán)訪問的情況下，該漏洞無法觸發(fā)，因此實際風險有限。

四、修復情況

該問題已在11.3.0中完成修復，包括：

• 將字符串拼接的 SQL 查詢改為參數(shù)化查詢

• 增強輸入校驗與異常處理

• 完整阻斷該類型注入風險

原始代碼存在字符串拼接，例如：

users = mysql_obj.query("select Host from mysql.user where User='"+ name +"' AND Host!='localhost'")

更新后，已改為參數(shù)化寫法：

sql ="select Host from mysql.user where User=%s AND Host!='localhost'"
users = mysql_obj.query(sql, param=(name,))

此方式能確保用戶輸入不會被解釋為 SQL 指令，從根源上避免注入。

六、致謝

感謝向我們提交漏洞信息的安全研究人員，對寶塔面板安全改進提供了寶貴幫助。

七、處理建議

建議所有用戶升級至11.3.0 或更新版本。 如暫時無法升級，可采?。?/p>

• 限制面板訪問來源 IP

• 啟用雙因素認證

• 檢查面板 API 與 MySQL 日志

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！