CVE-2025-12339CVE-2025-12339是Campcodes Retro Basketball Shoes Online Store 1.0中的一个高危SQL注入漏洞。该漏洞存在于管理后台的/admin/admin_football.php文件中，攻击者可以通过操纵pid参数实现SQL注入攻击。由于漏洞无需认证即可利用，远程攻击者可以通过网络直接发起攻击，窃取数据库中的敏感信息，包括用户凭据、订单数据、商业机密等。该漏洞的CVSS评分为7.3，属于高危级别，对系统的机密性、完整性和可用性都造成一定影响。目前该漏洞的利用代码已公开，攻击者可能正在野外利用此漏洞。
该SQL注入漏洞位于/admin/admin_football.php文件中，攻击者通过构造恶意的pid参数值来注入SQL语句。由于应用程序未对用户输入进行充分的过滤和参数化查询，攻击者可以利用UNION SELECT、布尔盲注、时间盲注等技术来提取数据库中的敏感信息。攻击者首先需要识别出存在漏洞的参数，然后通过构造特定的SQL payload来获取数据库版本、当前用户、数据库名称等关键信息，进而逐步枚举数据库中的表和字段，最终获取管理员账号密码等敏感数据。由于该漏洞无需认证即可利用，攻击门槛较低，危害性较大。