CVE-2026-25993 — EverShop二阶SQL注入实验室

前提条件

• Docker Engine 24+ 及 Docker Compose v2+
• 2 GB 可用内存

部署

cd EverShop-Lab/
docker compose up

首次构建需要等待约2分钟（克隆EverShop v2.1.0，编译，运行迁移，填充数据）。

应用将在 http://localhost:3000 可用。

凭据

停止/重置

# Stop the lab (keep data)
docker compose down

# Stop and delete all data (fresh start next time)
docker compose down -v

# Rebuild from scratch
docker compose down -v
docker compose up -d --build

漏洞详情

CVE-2026-25993 是 EverShop 分类URL重写处理中的一个二阶SQL注入漏洞。url_key 字段仅验证 ^\S+$（不允许空格），从而允许SQL元字符。当分类被更新时，一个事件订阅器通过字符串拼接构建原始SQL，在数据库中执行存储的 url_key。

目标

导出整个数据库。 没有旗帜。你的目标是：

1. 提取 PostgreSQL 版本字符串（注入证明）
2. 枚举所有数据库表
3. 从关键表中提取行数据（admin_user, customer, product 等）

提示

分类上的 url_key 字段拒绝空格但接受 ' 和 ||。当分类被更新时，一个事件订阅器将该 url_key 拼接到一个原始 SQL REPLACE() 调用中。创建一个父级分类，在其下添加一个子分类，然后更新父级分类的 url_key——结果大约在15秒后出现在子分类的 url_rewrite 条目中。

参考资料

• CVE-2026-25993
• GitHub Advisory GHSA-3h84-9rhc-j2ch
• EverShop 仓库