Litemall WxGoodsController SQL注入漏洞 (CVE-2026-8771)

一、漏洞信息

1.漏洞类型：根据开源情报，识别出该漏洞属于SQL注入（SQL Injection）类型。具体而言，是由于数据过滤不恰当导致的安全缺陷，攻击者可通过构造恶意输入执行任意SQL命令，进而可能引发远程代码执行或拒绝服务。

2.影响产品及版本：漏洞影响的产品为 LinlinJava Litemall（一个基于Spring Boot和Vue.js的开源商城系统）。受影响的版本为 1.8.0 及以下版本。

3.攻击场景：攻击者可能利用远程网络攻击的方式对系统进行入侵。具体途径是通过访问前端微信API中的商品控制器接口 WxGoodsController 的 list 函数，向其中注入恶意的SQL payload。由于该组件暴露在网络中且无需身份验证即可访问部分功能，攻击者可直接发起请求进行数据窃取、篡改或删除操作。

4.在野利用情况：已经观察到利用漏洞的迹象。情报显示，目前该漏洞的利用代码（POC/EXP）已公开在互联网上（如Gist仓库），这意味着潜在的自动化扫描器和攻击者可以轻易获取并利用此漏洞进行实际攻击。尽管尚未有大规模爆发的确凿证据，但高可利用性增加了被滥用的风险。

5.威胁团伙：目前情报中未明确关联特定的已知高级持续性威胁（APT）团伙，但鉴于PoC已公开，主要威胁来自脚本小子（Script Kiddies）或自动化僵尸网络，他们倾向于利用公开的漏洞进行批量扫描和数据窃取活动。

二、安全活动事件分析

事件一：2026年5月18日，安全研究人员在公共代码托管平台（GitHub Gist）上发布了针对 LinlinJava Litemall 1.8.0 及以下版本的 SQL 注入 PoC，标志着该漏洞进入高危利用阶段。

事件二：2026年5月18日，漏洞数据库（VulDB）收录并提交了关于此漏洞的技术细节，指出厂商在披露前已被联系但未作出回应，导致补丁缺失，加剧了安全风险。

三、技术分析

    分析：基于当前情报，该漏洞位于 LitemallWxWeb.WxGoodsController.java 文件的 list 方法中。由于框架或开发者在处理用户传入的商品列表查询参数时，未能正确过滤或预编译SQL语句，导致恶意SQL代码得以注入。攻击者可能的目的包括：窃取用户敏感信息（如手机号、地址）、越权查看后台管理数据、修改商品库存或价格，甚至通过堆叠注入执行系统命令以控制服务器。建议立即对该组件进行代码审计，确认所有涉及数据库查询的地方是否使用了参数化查询（PreparedStatement）。

四、建议措施：

升级系统补丁：鉴于厂商尚未发布官方修复补丁，建议尽快将 LinlinJava Litemall 升级到最新稳定版本（若后续版本已修复），或手动应用社区提供的临时修复方案。

加强输入验证与过滤：在 WxGoodsController 的 list 接口处，对所有输入参数（特别是用于构建SQL查询的部分）进行严格的白名单校验或转义处理，严禁直接拼接用户输入。

使用预编译语句：强制要求后端代码使用 MyBatis 或其他 ORM 框架的参数绑定机制（如 #{} 而非 ${}），从根本上杜绝 SQL 注入。

部署 WAF 规则：在Web应用防火墙中配置针对 SQL 注入特征（如 ' OR '1'='1、UNION SELECT 等）的检测规则，拦截恶意请求。

最小权限原则：确保运行该应用的数据库账户仅拥有必要的最小权限，避免使用具有 FILE、PROCESS 或 SUPER 等高权限的数据库账号运行 Web 应用。

五、结论概述

综合分析开源情报和漏洞特点，我们得出结论：LinlinJava Litemall 1.8.0 及以下版本存在严重的高危 SQL 注入漏洞（CVSS 评分 7.3-7.5）。由于 PoC 已公开且厂商响应滞后，该系统面临极高的被自动化攻击风险。建议管理员立即采取紧急缓解措施，优先实施输入验证加固和 WAF 防护，并密切关注厂商后续发布的正式补丁。