CVE-2025-63532 Shridharshukl Blood Bank Management System 取消請求 SQL Injection

三句重點

成因

取消血液請求腳本將使用者可控輸入直接拼入 SQL DELETE，未使用參數化查詢。

影響

成功利用可竄改或清空血液請求等紀錄，並可能進一步讀寫其他資料表。

條件

需能存取取消請求功能並送出識別參數；官方 CVSS 標示需低權限已登入。

版本比對

攻擊思路

1. 初始存取：攻擊者經網路連線至 Blood Bank Management System 1.0 網頁介面；官方 CVSS 標示需低權限已登入。 來源
2. 觸發漏洞：對取消血液請求功能發出 HTTP GET，將使用者可控的請求識別參數交由後端腳本處理。 來源
3. 注入與竄改：該參數被直接拼入 DELETE 且未參數化，可改寫刪除條件，造成血液請求等紀錄被竄改或清空。 來源
4. 擴大影響：同一注入點可能被用來讀寫其他資料表。CISA-ADP 將 Exploitation 評為 poc；NVD 與 MITRE 未記載在野利用。 來源

偵測提示

• Web 存取日誌：取消請求端點出現帶異常字元的識別參數、短時間大量重複 GET，或自動化掃描常見的探測節奏。
• 應用導向與錯誤訊息：取消請求失敗後若將資料庫錯誤內容帶回導向參數，代表查詢語法可能被惡意輸入破壞。
• 資料庫稽核日誌：血液請求相關資料表出現非預期 DELETE、影響列數異常，或同一連線連續多筆失敗的動態 SQL。
• 工作階段與授權紀錄：未登入或非該筆紀錄所屬使用者仍能觸發取消請求，代表腳本缺少工作階段與歸屬檢查。
• WAF 與網路 IDS：明文 HTTP 上對取消請求參數的 SQL 中繼字元或延遲行為告警；加密連線在終止前可能看不到參數內容。

暫時緩解

目前無官方修補版本。請將取消請求的識別輸入改為整數白名單或 prepared statement，並補上登入與「紀錄屬於目前使用者」的授權檢查，關閉資料庫錯誤外洩。修補前應將該功能自網際網路撤下；WAF 無法取代修補。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

🚨【資安漏洞通報】CVE-2025-63532
等級：Critical (9.6)
受影響套件：Shridharshukl Blood Bank Management System 1.0
漏洞簡述：取消血液請求腳本將使用者可控輸入直接拼入 SQL DELETE，未使用參數化查詢。；成功利用可竄改或清空血液請求等紀錄，並可能進一步讀寫其他資料表。；需能存取取消請求功能並送出識別參數；官方 CVSS 標示需低權限已登入。
建議措施：請參考廠商公告評估修補
詳細連結：https://cve.eacc.online/cve/CVE-2025-63532

參考連結

• https://nvd.nist.gov/vuln/detail/CVE-2025-63532
• https://www.cve.org/CVERecord?id=CVE-2025-63532
• https://github.com/advisories/GHSA-9mmx-qh5p-6jxq