2024年2月17日15:13發(fā)布更新：寶塔回應(yīng)稱該漏洞去年就已經(jīng)修復(fù)，更新同時該漏洞僅可以查詢數(shù)據(jù)、安全無法造成其他威脅。警報加強(qiáng)另外寶塔WAF防火墻與寶塔面板是寶塔兩個產(chǎn)品，藍(lán)點(diǎn)網(wǎng)在本文中已經(jīng)強(qiáng)調(diào)是面板WAF防火墻，不是附帶防火防御寶塔面板。

據(jù) V2EX 網(wǎng)友發(fā)布的洞請?zhí)樱诖汗?jié)期間他在研究寶塔面板的墻存漏洞時，發(fā)現(xiàn)寶塔面板附帶的入漏 WAF 防火墻 (寶塔 Nginx 防火墻) 存在 SQL 注入漏洞。

寶塔面板的藍(lán)點(diǎn) WAF 本身是一款收費(fèi)產(chǎn)品，購買并開通后可以用來攔截 CC 攻擊或者 SQL 注入之類的更新，但沒想到這個模塊本身也存在 SQL 注入漏洞。安全

漏洞位于 /cloud_waf/nginx/conf.d/waf/public/waf_route.lua 中，構(gòu)造滿足特定條件的寶塔 IP 地址和域名的情況下，不需要進(jìn)行任何驗(yàn)證即可訪問寶塔面板 API。面板

而且還可以他通過將 x-forwarded-for header 設(shè)置為 127.0.0.1、域名設(shè)置為 127.0.0.251 來滿足上面要求的條件。

目前該網(wǎng)友已經(jīng)將漏洞通報給寶塔官方，不過比較迷惑的是現(xiàn)在不清楚漏洞是否已經(jīng)修復(fù)，但漏洞細(xì)節(jié)已經(jīng)公布了，因此各位寶塔用戶要加強(qiáng)防御，避免泄露自己的服務(wù)器地址。

另外對于該問題寶塔面板官方也沒有進(jìn)行任何回應(yīng)，不知道是準(zhǔn)備不回應(yīng)了直接悄悄發(fā)個熱補(bǔ)丁進(jìn)行修復(fù)還是準(zhǔn)備怎么做。

注：請不要進(jìn)行漏洞未修復(fù)就公布細(xì)節(jié)的行為，否則很容易踩縫紉機(jī)。