MybatisPlus存在 sql 注入漏洞（CVE-2023-25330）解决办法-Toy模板网

这篇具有很好参考价值的文章主要介绍了MybatisPlus存在 sql 注入漏洞（CVE-2023-25330）解决办法。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

首先我们了解下这个漏洞是什么？

MyBatis-Plus TenantPlugin 是 MyBatis-Plus 的一个为多租户场景而设计的插件，可以在 SQL 中自动添加租户 ID 来实现数据隔离功能。

MyBatis-Plus TenantPlugin 3.5.3.1及之前版本由于 TenantHandler#getTenantId 方法在构造 SQL 表达式时默认情况下未对 tenant（租户）的 ID 值进行过滤，当程序启用了 TenantPlugin 并且 tenant（租户）ID 可由外部用户控制时，攻击者可利用该漏洞进行 sql 注入，接管程序的数据库或向操作系统发送恶意命令。用户可通过对租户 ID 进行过滤缓解此漏洞。

影响版本 <3.5.1

解决办法

1.不启用tenantId

2.必须使用tenantId的话,加过滤器，对tenantId做处理

Test Version: 3.4.2

com.example.demo.config.MybatisPlusConfig

mybatisplus sql注入,sql,安全,web安全

文章来源地址https://www.toymoban.com/news/detail-733224.html

com.example.demo.common.TenantHolder

mybatisplus sql注入,sql,安全,web安全

Interface for testing: /user?tid= will returns a specified tenant data record.

com.example.demo.controller.HelloController

mybatisplus sql注入,sql,安全,web安全

db:

CREATE TABLE `users` (  
  `id` int(32) NOT NULL AUTO_INCREMENT,  
  `name` varchar(32) NOT NULL,  
  `tenant_id` varchar(64) NOT NULL,  
  PRIMARY KEY (`id`)  
) ENGINE=InnoDB AUTO_INCREMENT=1 DEFAULT CHARSET=utf8;

Test interface using blank parameters:

http://localhost:8080/user?tid=

mybatisplus sql注入,sql,安全,web安全