微擎最新版SQL注入漏洞涉及文件web/source/site/editor.ctrl.php
微擎最新版SQL注入，htmlspecialchars_decode 函数对全局过滤gpc产生的 \’ 进行转义，将可控的参数$html的污染值插入数据库后,产生SQL注入漏洞。
注入
微擎SQL注入漏洞涉及文件web/source/extension/menu.ctrl.php
微擎SQL注入漏洞，对输入参数id未进行严格过滤，导致SQL注入的发生。
微擎二次注入漏洞涉及文件web/source/mc/fangroup.ctrl.php
微擎二次注入漏洞，sql语句查询前未作处理为sql注入漏洞的根源，同时多个sql语句拼接执行，使攻击者可以注入更长的代码。最后查询的变量用户可以控制，所以最终该漏洞可以实施攻击。