2024年2月17日15:13发布更新：宝塔回应称该漏洞去年就已经修复，更新同时该漏洞仅可以查询数据、安全无法造成其他威胁。警报加强另外宝塔WAF防火墙与宝塔面板是宝塔两个产品，蓝点网在本文中已经强调是面板WAF防火墙，不是附带防火防御宝塔面板。

据 V2EX 网友发布的洞请帖子，在春节期间他在研究宝塔面板的墙存漏洞时，发现宝塔面板附带的入漏 WAF 防火墙 (宝塔 Nginx 防火墙) 存在 SQL 注入漏洞。

宝塔面板的蓝点 WAF 本身是一款收费产品，购买并开通后可以用来拦截 CC 攻击或者 SQL 注入之类的更新，但没想到这个模块本身也存在 SQL 注入漏洞。安全

漏洞位于 /cloud_waf/nginx/conf.d/waf/public/waf_route.lua 中，构造满足特定条件的宝塔 IP 地址和域名的情况下，不需要进行任何验证即可访问宝塔面板 API。面板

而且还可以他通过将 x-forwarded-for header 设置为 127.0.0.1、域名设置为 127.0.0.251 来满足上面要求的条件。

目前该网友已经将漏洞通报给宝塔官方，不过比较迷惑的是现在不清楚漏洞是否已经修复，但漏洞细节已经公布了，因此各位宝塔用户要加强防御，避免泄露自己的服务器地址。

另外对于该问题宝塔面板官方也没有进行任何回应，不知道是准备不回应了直接悄悄发个热补丁进行修复还是准备怎么做。

注：请不要进行漏洞未修复就公布细节的行为，否则很容易踩缝纫机。

• ·不吃煎蛋的躺躺鹅的故事
• ·《细胞分裂6：乌名单（Splinter Cell: Blacklist）》最新PC版演示 支撑DX11直里细分
• ·《永暂挨算(Project Eternity)》最新截图 通俗坑讲充谦灭亡忧愁
• ·Netflix松跟时势 挨算推出“散户大年夜战华我街”电影
• ·Roguelite类《绝命游歌》正式上线Steam首发9折优惠
• ·《搏斗江湖》新版即将上线 内容弄法抢先体会
• ·日本版《同次元杀阵》电影本年10月上映
• ·漫威开辟《乌豹》衍逝世电视剧散 将散焦瓦坎达王国
• ·虚幻5悬疑冒险游戏《无人愿死》开场45分钟实机演示公布
• ·马里奥老弟当配角！《新超等路易基U（New Super Luigi U）》中文扫图
• ·《灵媒》开辟商解释两重真际机制 对硬件要供很下
• ·日版心慌圆！可骇悬疑新做《CUBE》预报 10月22日上映
• ·《死神：魂魄觉醒》玩法概述预告发布支持中文
• ·剧院版动绘《银魂THE FINAL》新PV公开 票房已冲破10亿日元
• ·新天下爱情养成足游《男神执事团》本日水爆开测
• ·《真正男人汉》民圆足游热血开测 完好复本节目天下没有雅