CVE-2025-61455CVE-2025-61455是Bhabishya-123 E-commerce 1.0版本中存在的一个高危SQL注入漏洞。该漏洞于2025年10月20日由MITRE组织披露，CVSS评分为9.8，属于严重级别。该漏洞位于应用程序的signup.inc.php端点中，是由于应用序在处理用户注册请求时，未对用户输入进行充分的过滤和转义，直接将未经净化的用户输入拼接到SQL查询语句中，从而导致SQL注入漏洞的产生。由于该漏洞存在于用户注册功能中，攻击者无需任何身份认证即可远程利用此漏洞。
该漏洞的危害程度极高，攻击者可以通过构造恶意的SQL语句绕过身份验证机制，获取对系统的完全访问权限。攻击者不仅能够读取数据库中的敏感信息（如用户凭证、个人信息、订单数据等），还能够修改或删除数据库内容，甚至可能通过SQL注入实现远程代码执行，进一步控制整个服务器。由于该漏洞的攻击复杂度低（AC:L），无需用户交互（UI:N），且可以通过网络远程利用（AV:N），因此具有极高的可利用性和广泛的影响范围。
Bhabishya-123 E-commerce是一款开源的电子商务平台，主要用于小型企业和个人开发者搭建在线商店。该项目的用户群体虽然相对较小，但由于其代码中存在的安全缺陷，任何部署了该版本的用户都面临着严重的安全风险。建议所有使用该产品的用户立即采取相应的防护措施，并关注官方的安全更新。
该SQL注入漏洞的根本原因在于signup.inc.php文件中对用户输入的处理不当。在典型的Web应用程序中，用户注册功能需要接收用户提交的用户名、密码、邮箱等信息，并将其插入到数据库中。然而，Bhabishya-123 E-commerce 1.0的signup.inc.php文件在构建SQL插入语句时，采用了字符串拼接的方式直接将用户输入嵌入到SQL查询中，而没有使用参数化查询（Prepared Statements）或对输入进行适当的转义和过滤。
攻击者可以利用这一缺陷，通过在注册表单的字段中注入恶意的SQL片段来操纵原始的SQL查询。例如，攻击者可以在用户名字段中输入类似 `' OR '1'='1` 的payload，或者在密码字段中输入包含SQL注释符和UNION查询的复杂payload。这些恶意输入会改变原始SQL语句的语义，使得数据库执行攻击者预期的操作。
具体而言，攻击者可以构造如下payload来绕过身份验证：通过在用户名字段中注入 `' OR 1=1 -- `，原本的SQL查询 `INSERT INTO users (username, password, email) VALUES ('$username', '$password', '$email')` 会被修改为 `INSERT INTO users (username, password, email) VALUES ('' OR 1=1 -- ', '$password', '$email')`，从而绕过正常的插入逻辑。更危险的利用方式是攻击者可以通过UNION SELECT语句提取数据库中的敏感信息，或者通过堆叠查询（stacked queries）执行任意SQL命令。
由于该漏洞无需认证即可利用，攻击者只需要向signup.inc.php端点发送精心构造的HTTP POST请求即可触发漏洞，这使得该漏洞特别容易被自动化扫描工具和恶意攻击者发现并利用。