IT之家5月5日消息，PHP开源项目ADOdb于上周发布了v5.22.9版本，该版本主要修复一项CVSS风险评分高达10分（满分）的严重安全漏洞CVE-2025-46337，官方透露该漏洞“可能影响全球280万个已安装ADOdb的环境”。
据介绍，ADOdb是一个广受欢迎的PHP数据库抽象层组件，它提供统一的API接口，使开发者可以使用相同的语法访问不同类型的数据库，支持MySQL、PostgreSQL、SQLite、Oracle、MicrosoftSQLServer、IBMDB2和Sybase等多种数据库。
本次披露的CVE-2025-46337是一个SQL注入漏洞，存在于ADOdb库的PostgreSQL驱动中，若程序在通过ADOdb连接PostgreSQL数据库时，开发者调用pg_insert_id函数并传入了未经处理的用户输入，同时并未进行适当的转义，就可能触发CVE-2025-46337漏洞，从而允许黑客远程执行任意SQL命令。
据悉，该漏洞影响多个PostgreSQL驱动版本，包括postgres64、postgres7、postgres8和postgres9。官方称“在最严重的情况下，黑客可完全控制SQL执行流程，窃取或删除数据，甚至远程执行恶意代码”，督促开发者尽快升级至ADOdbv5.22.9版本以解决相应问题，IT之家附项目GitHub页面如下（https://github.com/ADOdb/ADOdb/releases）。
IT之家注意到，相应漏洞由安全研究人员MarcoNapp提交，这位“MarcoNapp”原本是一位从事黑盒渗透测试的人员，近期为了加深对白盒测试的理解，他开始尝试使用静态应用安全测试（StaticApplicationSecurityTesting）方法，借助SonarQube静态代码分析工具，对海外高校网站常用的Moodle开源项目和一款“VtigerCRM”客户关系管理系统进行扫描。
结果，MarcoNapp在两个项目中均发现了相同的SQL注入漏洞，后续MarcoNapp进一步调查，发现这些漏洞其实来源于它们共同依赖的ADOdb组件，于是MarcoNapp便向官方提报了相应漏洞。
