在BET e-Portal的登录功能中发现了SQL注入漏洞，该软件解决方案广泛部署于教育机构，用于学生信息和考试成绩管理。该漏洞允许未认证攻击者干扰后端SQL查询，在某些配置下可能升级为远程代码执行。该问题通过CERT/CC协调披露，并被分配了CVE-2025-14598。
本文档提供该漏洞的技术概述、影响、在不同部署中的表现以及一般修复指南。
产品： BET e-Portal
供应商： BeeS Software Solutions Pvt Ltd
部署环境：
BET e-Portal通常被学院和大学用于处理学生登录、考试成绩、内部成绩及相关学术工作流程。它在100多个机构中独立部署，每个机构维护自己的实例。
该漏洞被归类为SQL注入，存在于登录功能中。由于输入验证不足，用户提供的登录数据被直接嵌入SQL查询而未经过适当清理。这使得未认证攻击者能够操纵数据库查询，并可能根据服务器配置实现远程代码执行。
严重程度因部署而异，但在某些实际案例中，影响达到了完全系统沦陷。
该漏洞源于应用程序的登录表单。用户名和密码字段被传递到数据库后端，生成动态构建的SQL语句。
如果用户输入未经过严格验证或参数化，攻击者可以构造输入来改变预期的SQL逻辑。
后端处理登录尝试时使用的SQL查询结构类似于：
SELECT * FROM users WHERE username = '<input>' AND password = '<input>';
如果<input>未正确转义或参数化，这种模式容易受到攻击。
攻击者可以注入SQL片段来修改查询行为。
一般的利用流程：
无需特殊权限。攻击完全远程且无需认证。
一些受影响的部署启用了特定SQL Server功能，例如：
xp_cmdshell这些功能显著放大了SQL注入的影响：
虽然配置因机构而异，但此类错误配置可以将SQL注入转变为远程代码执行场景。
在协调披露期间，部署了一个初始更新，解决了某些输入路径，但未完全修复漏洞。重测后发现，SQL注入仍可通过其他代码路径实现。
通过CERT/CC的进一步协调，实施了额外的纠正措施并进行了验证。最终补丁成功修复了审查的部署中的问题。
漏洞类型： SQL注入
CVSS评分： 9.8（严重）
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
潜在影响：
在数据库配置允许系统级交互的部署中，该漏洞被认为是严重的。
避免将SQL字符串与用户输入动态拼接。应使用框架或数据库库提供的参数绑定机制。
清理或白名单输入字段，特别是用于认证流程的字段。
确保Web应用程序使用的数据库账户具有最小权限。
除非绝对必要，否则应禁用诸如xp_cmdshell等功能。
监控认证流程和SQL错误日志，以发现异常行为。
定期的渗透测试和代码审查可以在开发周期早期发现这些问题。
发现者：
Mohammed Afnaan Ahmed
https://www.afnaan.me
CVE ID：
CVE-2025-14598
协调披露：
CERT协调中心（CERT/CC）