ShowDoc item_id SQL注入漏洞

预览

ShowDoc 是一个开源的在线文档协作平台，它支持Markdown、图片等多种格式，方便团队成员共同编辑和分享文档。企业常见使用场景是使用其进行接口文档、内部知识库管理。
2024年6月，ShowDoc官方发布新版本修复了一个SQL注入漏洞。鉴于该漏洞无前置条件，易于利用，且默认情况下可暴破用户token获取系统后台权限，建议所有使用该系统的企业尽快进行打补丁修复，以确保系统安全。

预览

该漏洞可利用SQL注入暴破用户token，进而使用管理员权限登录后台，从而获得API文档、附件及LDAP等配置信息。

预览

一、临时缓解方案

1. 加强服务器和应用的访问控制，仅允许可信IP进行访问。另外如非必要，不要将该系统开放在互联网上。
2. 使用WAF等安全设备针对该应用的异常请求进行拦截。
   二、升级修复方案
   官方已发布新版本修复漏洞，建议访问官方Github页面（https://github.com/star7th/showdoc/releases）获取3.2.6及以上版本。