漏洞类型	SQL注入	发现时间	2024-05-29	漏洞等级	高危
MPS编号	MPS-mg7u-bw9p	CVE编号	CVE-2024-35548	漏洞影响广度

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

MyBatis Plus 是 MyBatis 的增强工具，用于简化数据库开发，提高开发效率。
受影响版本中，由于 UpdateWrapper 类未对用户可控的参数进行过滤导致存在SQL注入漏洞，攻击者可基于布尔盲注窃取数据库敏感信息。
参考链接：https://www.oscs1024.com/hd/MPS-mg7u-bw9p

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
com.baomidou:mybatis-plus-core (-∞, 3.5.6]	补丁	官方已发布补丁：https://github.com/baomidou/mybatis-plus/commit/1c5ef2cfb6fe2ae125539646dc07322886585f6c
参考链接：https://www.oscs1024.com/hd/MPS-mg7u-bw9p

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-mg7u-bw9p

https://nvd.nist.gov/vuln/detail/CVE-2024-35548

https://github.com/baomidou/mybatis-plus/issues/6167

https://github.com/baomidou/mybatis-plus/commit/1c5ef2cfb6fe2ae125539646dc07322886585f6c

MyBatis Plus<=3.5.6 存在SQL注入漏洞 (CVE-2024-35548)

漏洞危害

影响范围及处置方案

OSCS 平台影响范围和处置方案

排查方式

相关推荐

jeecg-boot/积木报表基于 SSTI 的任意代码执行漏洞 [有POC]

SSH协议前缀截断攻击(Terrapin攻击) (CVE-2023-48795)

Cacti<1.2.25 权限升级漏洞 (CVE-2023-31132)

Apache Submarine 存在反序列化漏洞 (CVE-2023-46302)

Apache InLong updateAuditSource方法命令注入漏洞 (CVE-2023-51784)