Online Ordering System是一个多商店订购系统，可用于任何小型企业。

Online Ordering System SQL注入漏洞

Online Ordering System v2.3.2版本存在SQL注入漏洞，该漏洞源于/ordering/admin/store/index.php?view=edit＆id=缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

CVE ID：CVE-2022-31356

危害级别：高

漏洞类型：通用型漏洞

影响产品：Online Ordering System Online Ordering System 2.3.2

漏洞解决方案：厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://www.sourcecodester.com/php/12978/online-ordering-system-phpmysqli.html

参考：https://github.com/k0xx11/bug_report/blob/main/vendors/janobe/online-ordering-system/SQLi-4.md

Online Ordering System SQL注入漏洞

Online Ordering System v2.3.2版本存在SQL注入漏洞，该漏洞源于/ordering/admin/inventory/index.php?view=edit＆id=缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

CVE ID：CVE-2022-31357

危害级别：高

漏洞类型：通用型漏洞

影响产品：Online Ordering System Online Ordering System 2.3.2

漏洞解决方案：厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://www.sourcecodester.com/php/12978/online-ordering-system-phpmysqli.html

参考：https://github.com/k0xx11/bug_report/blob/main/vendors/janobe/online-ordering-system/SQLi-3.md

Online Ordering System SQL注入漏洞

Online Ordering System v2.3.2版本存在SQL注入漏洞，该漏洞源于/ordering/index.php?q=category＆search=缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

CVE ID：CVE-2022-31355

危害级别：高

漏洞类型：通用型漏洞

影响产品：Online Ordering System Online Ordering System 2.3.2

漏洞解决方案：厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://www.sourcecodester.com/php/12978/online-ordering-system-phpmysqli.html

参考：https://github.com/k0xx11/bug_report/blob/main/vendors/janobe/online-ordering-system/SQLi-2.md

Online Ordering System SQL注入漏洞

Online Ordering System 2.3.2版本存在SQL注入漏洞，该漏洞源于/ordering/admin/user/index.php?view=edit＆id=页面缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

CVE ID：CVE-2022-31338

危害级别：高

漏洞类型：通用型漏洞

影响产品：Online Ordering System Online Ordering System 2.3.2

漏洞解决方案：厂商已发布了漏洞修复程序，请及时关注更新：
https://www.sourcecodester.com/php/12984/online-ordering-system-phpmysqli.html

参考：https://github.com/k0xx11/bug_report/blob/main/vendors/janobe/online-ordering-system/SQLi-9.md

Online Ordering System SQL注入漏洞

Online Ordering System 1.0版本存在SQL注入漏洞，该漏洞源于store/orderpage.php页面缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

CVE ID：CVE-2022-30799

危害级别：中

漏洞类型：通用型漏洞

影响产品：Online Ordering System Online Ordering System 1.0

漏洞解决方案：厂商已发布了漏洞修复程序，请及时关注更新：
https://www.sourcecodester.com/php/5125/online-ordering-system-using-phpmysql.html

参考：https://github.com/k0xx11/bug_report/blob/main/vendors/argie/online-ordering-system/SQLi-5.md

点个关注：

发布结果公告信息之前，我们决定声明力争保证每条公告的和建议。同时，采纳和实施公告中的则完全由用户自己决定，可能出现的问题也完全由用户承担。采纳您的建议，您提出您的个人或企业的决策，您应考虑其或个人或您的企业的策略和流程。

原文始发于微信公众号（漏洞更新）：Online Ordering System 漏洞