關鍵詞
漏洞
CVE-2025-12914 漏洞修復說明 一、漏洞概述
外部安全平臺披露了與寶塔面板相關的CVE-2025-12914漏洞信息。 該漏洞出現在舊版本的數據庫權限查詢邏輯中,由于對輸入參數校驗不足,可能在特定條件下觸發 SQL 注入風險。
該漏洞無法被未授權遠程用戶直接利用,需要滿足較高的權限條件后才可能觸發。
![]()
二、影響范圍
面板版本
狀態
≤ 11.2.x
受影響
11.3.0 起已修復,不受影響三、漏洞利用條件與風險說明
漏洞僅在攻擊者已具備以下權限時可能被利用:
- 已登錄寶塔面板后臺(任意管理員賬號)
- 或已獲取寶塔面板 API AccessKey(等同后臺權限)
在未授權訪問的情況下,該漏洞無法觸發,因此實際風險有限。
四、修復情況
該問題已在11.3.0中完成修復,包括:
將字符串拼接的 SQL 查詢改為參數化查詢
增強輸入校驗與異常處理
完整阻斷該類型注入風險
原始代碼存在字符串拼接,例如:
users = mysql_obj.query("select Host from mysql.user where User='"+ name +"' AND Host!='localhost'")
更新后,已改為參數化寫法:
sql ="select Host from mysql.user where User=%s AND Host!='localhost'"
users = mysql_obj.query(sql, param=(name,))
此方式能確保用戶輸入不會被解釋為 SQL 指令,從根源上避免注入。
六、致謝
感謝向我們提交漏洞信息的安全研究人員,對寶塔面板安全改進提供了寶貴幫助。
七、處理建議
建議所有用戶升級至11.3.0 或更新版本。 如暫時無法升級,可采取:
限制面板訪問來源 IP
啟用雙因素認證
檢查面板 API 與 MySQL 日志

安全圈

網羅圈內熱點 專注網絡安全
實時資訊一手掌握!
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧!
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.