openSIS 8.0 的 CVE-2021-40353 SQL 注入漏洞利用

openSIS 8.0 在使用 MySQL 或 MariaDB 作为数据库时存在 SQL 注入漏洞 CVE-2021-40353，攻击者可通过 index.php 的 USERNAME 参数注入 SQL 命令。sqlmap 验证该参数存在基于报错、堆叠查询与时间盲注的注入点，该漏洞由 Brian Lowe 于 2021 年 8 月发现。