CVE-2025-11401CVE-2025-11401是SourceCodester酒店与旅馆管理系统（Hotel and Lodge Management System）1.0版本中存在的一个SQL注入漏洞。该漏洞位于系统的/pages/save_curr.php文件中，攻击者可以通过操控currcode参数实施SQL注入攻击。该漏洞由VulDB社区的研究员发现并披露，披露日期为2025年10月7日。
根据CVSS 3.1评分体系，该漏洞评分为6.3分，属于中危级别。攻击者可以通过网络远程发起攻击，仅需要低权限账户即可执行，无需用户交互。成功利用该漏洞后，攻击者能够对数据库进行未授权的读取、修改和删除操作，导致系统机密性、完整性和可用性均受到低程度的影响。
SourceCodester是一个提供免费源码下载的平台，其酒店与旅馆管理系统是一款面向小型酒店和旅馆的业务管理软件，包含客房管理、预订管理、客户管理、账单管理等功能。由于该系统通常部署在小型企业的内部网络中，且涉及客户敏感信息和财务数据，一旦遭受SQL注入攻击，可能导致客户数据泄露、财务记录被篡改等严重后果。值得注意的是，该漏洞的利用代码已被公开发布，攻击门槛较低，安全风险不容忽视。
该SQL注入漏洞存在于SourceCodester酒店与旅馆管理系统1.0版本的/pages/save_curr.php文件中。具体而言，漏洞产生的原因是该文件在处理currcode（货币代码）参数时，未对该参数进行充分的输入验证和过滤，直接将用户输入的数据拼接到SQL查询语句中执行。
从技术层面分析，攻击者可以通过构造恶意的SQL语句作为currcode参数的值，注入到后端数据库查询中。由于系统未使用参数化查询（Prepared Statements）或存储过程，也未对特殊字符（如单引号、双引号、分号、注释符等）进行转义处理，攻击者可以利用经典的SQL注入技术（如UNION联合查询、布尔盲注、时间盲注等）从数据库中提取敏感信息。
利用条件方面，攻击者需要拥有低权限账户（PR:L），这意味着未授权用户可能无法直接利用，但已注册的低权限用户（如普通员工账户）即可发起攻击。攻击通过网络进行（AV:N），攻击复杂度低（AC:L），无需用户交互（UI:N），使得自动化批量攻击成为可能。
成功利用后，攻击者可以读取数据库中的用户凭证、客户信息、预订记录等敏感数据，修改或删除关键业务数据，甚至在某些数据库配置下实现远程代码执行（RCE），对系统安全构成严重威胁。