【高危漏洞】CVE-2026-1192：Tosei在线商店管理系统命令注入漏洞分析
漏洞概述
Tosei Online Store Management System（ネット店舗管理システム）1.01 版本中存在一个远程命令注入漏洞。攻击者可通过向 /cgi-bin/imode_alldata.php 文件中的 DevId 参数传入恶意构造的数据，实现远程命令执行。该漏洞的利用代码已公开披露，且厂商在被通知后未作出任何回应，存在较高的被利用风险。
漏洞详情
- CVE 编号：CVE-2026-1192
- 漏洞类型：命令注入（Command Injection），关联 CWE-74（数据处理不当）和 CWE-77（命令注入）
- CVSS 评分：CVSS v3.1 评分为 7.3（HIGH），CVSS v4.0 评分为 6.9（MEDIUM）
- 影响版本：Tosei Online Store Management System ネット店舗管理システム 1.01
影响范围
该漏洞影响 Tosei 公司开发的“ネット店舗管理システム”（Online Store Management System）1.01 版本。受影响组件为 /cgi-bin/imode_alldata.php 文件，该文件在处理 DevId 参数时未对用户输入进行充分验证或过滤，导致攻击者可注入并执行任意系统命令。
风险分析
由于该漏洞可通过网络远程触发，且无需身份认证或用户交互，攻击者可利用此漏洞在目标服务器上执行任意命令，可能导致以下后果：
- 远程代码执行（RCE）
- 服务器权限被完全控制
- 敏感数据泄露（如客户信息、订单数据等）
- 系统可用性受损（如服务中断、数据篡改）
目前已有公开的利用代码（Proof-of-Concept），进一步增加了实际攻击的可能性。
修复建议
- 建议用户立即停止使用受影响版本，并联系 Tosei 官方获取安全更新。若官方未提供补丁，应考虑迁移到其他安全的替代系统。
- 临时缓解措施：在 Web 服务器或防火墙层面限制对 /cgi-bin/imode_alldata.php 的访问，或对 DevId 参数实施严格的输入过滤与白名单校验，禁止包含 shell 元字符（如 ;、|、&、` 等）的请求。
