CVE-2026-6165code-projects Vehicle Showroom Management System 1.0版本中的/util/Login_check.php文件存在SQL注入漏洞。由于未对用户输入的参数“ID”进行充分的过滤和验证，攻击者可以通过构造恶意SQL语句并远程发送请求，成功利用该漏洞获取数据库敏感信息、篡改数据或破坏系统完整性。目前该漏洞的利用代码已公开，风险较高。
该漏洞位于系统的登录检查逻辑中（/util/Login_check.php）。在处理用户请求时，应用程序直接将HTTP请求参数“ID”拼接到SQL查询语句中，而没有使用预处理语句或进行有效的输入过滤。这种不安全的编码方式使得攻击者能够通过在“ID”参数中注入恶意的SQL语法（如UNION SELECT, ' OR '1'='1等），欺骗后端数据库执行非预期的命令。攻击者无需身份认证即可通过网络发起攻击，可能导致数据库中的敏感信息泄露，数据被非法修改或删除。