CVE-2026-3843

总结

Nefteprodukttekhnika BUK TS-G 加油站自动化系统 2.9.1（Linux 版）在系统配置模块中存在 SQL 注入漏洞（CWE-89）。远程攻击者可通过向 /php/request.php 端点发送特制的 HTTP POST 请求，在 application/x-www-form-urlencoded 数据中利用 sql 参数（例如，action=do&sql=<query_here>&reload_driver=0）执行任意 SQL 命令，并可能实现远程代码执行。

• BUK_TS_KILLER漏洞利用

  BUK-TS 身份验证绕过与远程代码执行漏洞的利用程序，包含拦截响应并篡改 userid 以获取未授权访问权限的步骤。