核對日期：2026-10-25。本文依 TWCERT/CC TVN-202610007 與通報者中華資安國際公告整理。公告日期為 2026-10-20。
重點摘要
- BA-Workflow 有三個 SQL Injection 弱點：CVE-2026-113405、CVE-2026-113406、CVE-2026-113407。
- 公告指出，攻擊者需先有一般使用者權限，再透過遠端參數注入 SQL，可能讀取、修改或刪除資料庫內容。
- TWCERT/CC 建議更新到 v3.6.2.7 或更新版本。前兩項影響 v3.6 以前版本；第三項影響 v3.6.2.7 以前版本。
漏洞與影響版本
| CVE | 弱點 | 受影響版本 | CVSS |
|---|---|---|---|
| CVE-2026-113405 | SQL Injection | BA-Workflow v3.6 以前 | 8.8（CVSS 3.1）；8.7（CVSS 4.0） |
| CVE-2026-113406 | SQL Injection | BA-Workflow v3.6 以前 | 8.8（CVSS 3.1）；8.7（CVSS 4.0） |
| CVE-2026-113407 | SQL Injection | BA-Workflow v3.6.2.7 以前 | 8.8（CVSS 3.1）；8.7（CVSS 4.0） |
TWCERT/CC 對三項 CVE 都列出 CVSS 3.1 與 4.0 分數。若需比較風險，請保留量表版本，避免只寫一個分數造成誤讀。
修補方式
- 盤點所有 BA-Workflow 執行個體及版本，包含內部測試與備援環境。
- 聯繫亞璿資訊或依供應商正式管道，安裝 v3.6.2.7 或更新版本。
- 升級後從管理介面或受控資產盤點確認實際版本，並確認應用程式與資料庫連線正常。
檢查與暫時防護
公告未提供公開 POC、特定 IOC 或利用活動判定，因此以下是依「需有一般使用者權限」及「可能讀寫刪除資料庫」所作的防禦性檢查建議，並非已知攻擊指標：
- 修補前限制 BA-Workflow 的網路來源，只允許必要使用者透過受控網路或 VPN 存取。
- 檢視近期新增、停用及權限變更的帳號，尤其是一般權限帳號是否可由不可信來源取得。
- 依應用程式及資料庫可用的稽核紀錄，檢查非預期查詢量、批次資料讀取、刪除或欄位大量變更；將異常時間與帳號活動交叉比對。
- 保留修補前後的應用程式與資料庫紀錄。沒有發現異常不能單獨證明過去未曾遭利用。
分析限制與延伸閱讀
公開公告提供了弱點類型、權限前提、影響版本與修補版本，但未公開程式碼差異或精確受影響參數，因此本文不推測具體 SQL 語句、呼叫路徑或可利用請求。其他近期漏洞資訊可見本站漏洞預警文章。
