漏洞描述：
Laravel是Laravel社区的一个Web 应用程序框架，同时使用SQL Server数据库和Laravel框架,并且Web应用允许用户输入参数直接传递参数到limit和offset函数,存在SQL注入风险,其他数据库如MySQL和Postgres不受此漏洞影响。
影响范围:
laravel/framework@[6.0.0, 6.20.26)
laravel/framework@[7.0.0, 7.30.5)
laravel/framework@[8.0.0, 8.40.0)
修复方案:
对用户输入的参数进行验证或预处理，确保传至分页函数(如：limit、offset、skip和take)时为整数
将组件 laravel/framework 升级至 7.30.5 及以上版本
将组件 laravel/framework 升级至 8.40.0 及以上版本
原文始发于微信公众号（飓风网络安全）：【漏洞预警】Laravel框架limit和offset处存在SQL注入
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论