CVE-2025-12294CVE-2025-12294是SourceCodester Point of Sales 1.0版本中的一个高危SQL注入漏洞。该漏洞存在于delete_category.php文件的ID参数处理逻辑中，由于未对用户输入进行充分的过滤和参数化处理，攻击者可以通过构造恶意的SQL语句实现数据库注入攻击。SourceCodester Point of Sales是一款开源的销售点系统软件，广泛应用于小型零售门店的日常经营管理中。该系统处理大量的商业敏感数据，包括商品信息、销售记录、客户数据、财务数据等。一旦攻击者成功利用此漏洞，不仅可以获取数据库中的敏感信息，还可能对数据进行篡改或删除，甚至在某些配置下可能获得服务器操作系统的远程代码执行权限。由于该漏洞的利用代码已公开披露，且CVSS评分达到4.7分，攻击复杂度低，攻击者可在无需特殊用户交互的情况下远程发起攻击，因此该漏洞具有较高的实际威胁性。建议所有使用该系统的用户立即采取修复措施，避免遭受潜在的安全风险。
该SQL注入漏洞位于SourceCodester Point of Sales 1.0的delete_category.php文件中，具体问题在于对ID参数的过滤和验证不足。攻击者可以通过HTTP请求参数ID注入恶意的SQL代码片段。在典型的Web应用架构中，该文件负责处理商品分类的删除操作，正常流程下应该接收分类ID并执行DELETE语句从数据库中移除对应记录。然而，由于缺少预编译语句（Prepared Statements）的使用，攻击者可以在ID参数中插入UNION SELECT、布尔盲注、时间盲注等SQL注入技术，从而绕过应用程序的输入验证逻辑。通过UNION注入，攻击者能够从数据库中提取任意表的敏感数据；通过布尔盲注，攻击者可以推断数据库信息；通过时间盲注，攻击者能够在无法直接获取输出结果的情况下，通过响应时间的差异判断SQL语句执行的真假状态。攻击者还可以利用此漏洞进行数据库枚举、读取系统文件、甚至在特定条件下通过into outfile或into dumpfile语句写入恶意文件，进而可能实现远程代码执行。