OFCMS 1.1.3 SystemDictController

SQL注入漏洞 (CVE-2026-10202)

一、漏洞信息

1.漏洞类型：SQL注入

2.影响产品及版本：OFCMS 1.1.3 及更早版本。具体受影响的组件为 SystemDictController.java 中的 Query 函数，该函数属于 JSON Query Interface 组件。

3.攻击场景：攻击者可能通过远程网络发起攻击，利用存在漏洞的 SystemDictController 接口。由于该漏洞位于处理查询请求的 JSON Query Interface 中，攻击者可通过构造恶意的 SQL 语句作为参数传入，从而绕过正常的逻辑判断，执行任意 SQL 命令。根据 CVSS 评分，攻击者仅需低权限（LOW privileges required）且无需用户交互即可利用此漏洞。

4.在野利用情况：目前情报显示该漏洞的利用方法已公开（Public POC/EXP），但尚未观察到大规模在野利用或针对特定 APT 团伙的直接关联证据。不过，鉴于 PoC 已公开，防御方需高度警惕潜在的自动化扫描和针对性攻击。

5.威胁团伙：暂无明确情报表明该漏洞被特定已知的高级持续性威胁（APT）团伙专门利用，但其潜在危害可能导致数据泄露、拒绝服务或代码执行，可能被一般黑客组织或脚本小子利用进行资产入侵。

二、安全活动事件分析

事件一：2026年06月01日，开源社区及安全研究人员在 Gitee 平台（OFCMS 项目 Issue IJLIBT）披露了 OFCMS SystemDictController SQL 注入漏洞的技术细节及利用方式。

事件二：2026年06月01日，Vuldb 等漏洞数据库收录了该漏洞（CVE-2026-10202 / QVD-2026-30345），并指出项目团队虽早期获知问题但未及时作出官方回应，导致漏洞风险持续存在。

三、技术分析

    分析：基于当前情报，该漏洞源于对输入数据过滤不恰当（CWE-74, CWE-89），特别是在处理 JSON 查询接口时未有效防止 SQL 注入。攻击者可能利用此漏洞实现以下目的：信息泄露：提取数据库中的敏感信息，如管理员账号密码、用户隐私数据等。拒绝服务：通过恶意 SQL 操作导致数据库性能下降或服务中断。代码执行：在某些配置不当的数据库环境下，SQL 注入可能被进一步利用以实现远程代码执行（RCE），尽管 CVSS v3 评分显示可用性影响较低，但仍需防范后续链式攻击。建议立即对该系统进行风险评估，重点检查涉及 SystemDictController 的相关接口日志。

四、建议措施：

升级系统补丁：官方已提供可更新版本，建议受影响用户立即将 OFCMS 升级至最新版本以修复此漏洞。

加强输入验证与参数化查询：在开发或维护过程中，确保所有进入 SQL 查询的参数均经过严格的白名单验证或使用预编译语句（Prepared Statements），避免直接拼接用户输入。

最小权限原则：确保运行 OFCMS 的数据库账户仅拥有必要的最低权限，禁止使用具有高权限（如 FILE, SUPER 等）的数据库账户运行 Web 应用，以限制 SQL 注入可能造成的最大破坏。

Web 应用防火墙（WAF）规则更新：部署或更新 WAF 规则，识别并拦截针对 /system/.../query 等相关接口的异常 SQL 关键字特征流量。

监控与审计：加强对后端服务器和数据库的详细日志审计，监测异常的 SQL 查询行为或高频访问模式。

五、结论概述

综合分析开源情报和漏洞特点，我们得出结论：OFCMS 1.1.3 中存在严重的 SQL 注入漏洞（CVE-2026-10202），该漏洞允许低权限远程攻击者通过构造恶意查询参数实施攻击，可能导致数据泄露和服务中断。虽然目前尚无确凿的大规模在野利用报告，但由于利用方法已公开且官方响应滞后，安全风险较高。建议相关运维和安全管理人员立即采取升级补丁和加强输入验证等措施进行缓解。