| Title | projectworlds Online Shopping System v1.0 SQL Injection |
|---|
| Description | 目标系统存在SQL 注入漏洞（布尔盲注 / 报错注入 / 时间盲注），漏洞出现在商品加入购物车功能的id GET 参数处。后端代码直接将未经过滤的用户输入$item_id（来源于$_GET['id']）拼接至 SQL 插入语句add_to_cart_query中，未做任何参数化查询或输入过滤处理，攻击者可通过构造恶意 Payload（如布尔盲注、报错注入、时间盲注等），利用该漏洞执行任意 SQL 语句，窃取数据库敏感信息或对数据库进行恶意操作。 |
|---|
| Source | ⚠️ https://github.com/eqiya17/collection-of-vulnerabilities/issues/1 |
|---|
| User | WangYiQi (UID 96144) |
|---|
| Submission | 03/07/2026 08:56 (7 months ago) |
|---|
| Moderation | 03/21/2026 09:09 (14 days later) |
|---|
| Status | Duplicate |
|---|
| VulDB entry | 326109 [Projectworlds Online Shopping System 1.0 /store/cart_add.php id sql injection] |
|---|
| Points | 0 |
|---|