ZZCMS存在SQL注入漏洞（CNVD-2024-43213、CVE-2024-10291）

ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发。

国家信息安全漏洞共享平台于2024-11-06公布其存在SQL注入漏洞。

漏洞编号：CNVD-2024-43213、CVE-2024-10291

影响产品：ZZCMS 2023

漏洞级别：中

公布时间：2024-11-06

漏洞描述：漏洞位于源文件“/Ebak5.1/upload/phome.php”中的参数“phome”，缺少对外部输入SQL命令的安全验证，黑客可利用该漏洞执行SQL注入攻击，篡改数据库或拖库等非法操作。

解决办法：

准确说，这个漏洞不是ZZCMS自身的注入漏洞，而是其自带的Ebak（帝国备份王）存在的注入漏洞。解决起来也很简单：删除 /Ebak5.1/ 目录即可。

如果您不想删除，则建议使用 护卫神·防入侵系统，自带SQL注入防护功能，可有效拦截黑客SQL注入攻击（效果如下图）。

（拦截SQL注入效果图）