重要: 宝塔 WAF 防火墙存在 SQL 注入漏洞，攻击者可通过漏洞执行任意指令

重要: 宝塔 WAF 防火墙存在 SQL 注入漏洞，攻击者可通过漏洞执行任意指令 最近在V2EX上有用户报告发现了一个关于宝塔 WAF 的SQL注入漏洞。在测试宝塔WAF的未授权访问漏洞时，作者无意中发现了一个可以执行任意SQL语句的SQL注入漏洞。这个漏洞存在于宝塔WAF的get_site_status API中，由于server_name参数没有进行适当的校验，直接被用于SQL查询，从而导致了SQL注入的风险。 漏洞原理：这个宝塔SQL注入漏洞的原理基于对server_name参数的不当处理。在宝塔 WAF 的get_site_status API中，server_name参数没有进行适当的校验和清洗，直接被用于构造SQL查询。这种处理方式使得攻击者可以通过构造恶意的server_name参数值来操纵SQL语句，从而实现SQL注入攻击。 通过构造特定的请求，作者成功地利用这个漏洞执行了SQL命令，包括获取数据库名称和MySQL版本信息，以及执行任意SQL查询。这表明攻击者可以利用这个漏洞对数据库进行任意操作 官方响应：目前宝塔官方尚未对这个问题进行公开回复，可能已通过暗改方式修复，但用户仍需要注意 安全建议： 1. 宝塔用户应该立即检查自己的系统，看是否存在被这个漏洞利用的迹象。 2. 关注宝塔官方的通告和更新，及时安装最新的安全补丁。 3. 考虑采取额外的安全措施，比如使用第三方的安全工具来增强WAF的防护能力。 注：用户卸载 WAF 也可避免该问题 参考信息：

宝塔在7.9.3版本前存在RCE漏洞

宝塔在7.9.3版本前存在RCE漏洞 宝塔在7.9.3版本之前存在较大漏洞，触发区分别为网站日志和面板日志 影响范围 <7.9.3 网站日志漏洞为宝塔在获取Nginx日志时无任何过滤，攻击者只需要简单的拼接和转换即可XSS，在部分函数[ExecShell函数]中使用了 subprocess.Popen 执行了命令，但无任何过滤行为，后台管理者只要访问错误日志必定触发执行 [注：部分开心版的网站防火墙绕过需要转换链接字符才可拼接语句] 面板日志漏洞为宝塔将错误日志和运行日志记录在相同地方，其触发方式于上面相同

重要: 宝塔 WAF 防火墙存在未授权访问漏洞，攻击者可通过漏洞访问后台API

重要: 宝塔 WAF 防火墙存在未授权访问漏洞，攻击者可通过漏洞访问后台API 最近在V2EX上有用户报告发现了一个关于宝塔 WAF 的未授权访问漏洞。这个漏洞允许未经授权的用户绕过登录验证，无视宝塔的随机登录地址，直接访问宝塔后台的某些API，实现远程控制 漏洞原理： 这个漏洞存在于/cloud_waf/nginx/conf.d/waf/public/waf_route.lua文件中，通过检查源代码可以发现，只要请求满足特定的IP和域名条件，就可以无需登录直接访问后台API，通过特定的HTTP请求头配置，攻击者可以模拟来自127.0.0.1的请求，并将Host头设置为127.0.0.251，从而绕过宝塔的访问控制。这种方式允许攻击者执行包括获取已拉黑IP列表、解封IP、删除所有日志等多种操作。 注：这表明宝塔WAF的核心防护功能存在严重的安全设计缺陷。 安全建议： 1. 宝塔用户应该立即检查自己的系统，看是否存在被这个漏洞利用的迹象。 2. 关注宝塔官方的通告和更新，及时安装最新的安全补丁。 3. 考虑采取额外的安全措施，比如使用第三方的安全工具来增强WAF的防护能力。 注：用户卸载 WAF 也可避免该问题 参考消息：

宝塔面板的官方Demo疑被黑，HostLoc的网友认为这似乎印证了近期宝塔面板存在重大漏洞的传言。宝塔面板此前曾发布公告称“经过

宝塔面板的官方Demo疑被黑，HostLoc的网友认为这似乎印证了近期宝塔面板存在重大漏洞的传言。宝塔面板此前曾发布公告称“经过排查没有发现漏洞”。该Demo已经下线。 宝塔官方回复用户疑问，说DEMO没有防护，而且能登陆要改很容易。否认这是由于安全漏洞造成的。