漏洞描述
所有 FineCMS 都使用 PDO 连接 mysql 服务器，因此所有数据都没有经过任何验证、清理或输出编码的注入数据库。application/core/controller/excludes.php但是，网站作者使用 mysqli 连接 mysql 服务器。导致 SQL 注入，可能允许攻击者使用一些有效载荷获取数据库中的数据。
漏洞分析
文件application/core/controller/excludes.php第 75 行，visitor_ip 插入到数据库中，没有经过任何验证、清理或输出编码。
文件/stat/get_stat_data.php第 30 行
sql 注入 sql_query 并执行。
漏洞复现
并查看http://your_finecms/stat/get_stat_data.php，我们可以感觉到网站加载睡眠。
我一点也不走运。