逐鹿數位開發之 HCM 系統曝露嚴重 SQL Injection 漏洞（CVE-2026-15804），CVSS 評分達 8.8。已通過身分鑑別的遠端攻擊者可透過特定參數注入 SQL 指令，導致資料庫機密性、完整性與可用性受損。受影響版本涵蓋 HCM 7 至 7.5.3（不含）及 HCM 8 至 8.1.7.1（不含），建議立即更新至修補版本以阻斷攻擊路徑。
台灣漏洞揭露平台（TVN）於 2026 年 7 月 15 日發布編號 TVN-202607005 的漏洞公告，揭露 MetaGuru 開發的企業人力資源管理系統 HCM 存在高風險 SQL Injection 漏洞[1]。該漏洞已對應至國際標準 CVE ID CVE-2026-15804，其 CVSS 3.1 評分高達 8.8（High），評估指標顯示攻擊者無需複雜環境即可透過網路遠端攻擊，且對資料造成高度損害[1]。漏洞通報者為 BTtea（中華資安國際），攻擊路徑明確指出需先通過身分鑑別，屬於「已驗證遠端攻擊」類型，這意味著攻擊者需先取得合法帳號才能利用此漏洞注入惡意 SQL 指令[1][3]。
SQL Injection（SQLi）是一種透過將惡意 SQL 語法插入輸入欄位來修改或擷取資料庫數據的攻擊技術[5]。在 CVE-2026-15804 案例中，攻擊者利用 HCM 系統中特定參數缺乏適當的輸入驗證與過濾機制，將惡意 SQL 命令嵌入請求中[1]。當應用程式未使用參數化查詢（Parameterized Queries）或預編譯語句（Prepared Statements），而是直接將用戶輸入與 SQL 指令進行字串拼接時，攻擊者即可破壞查詢結構，執行未經授權的資料庫操作[6][9]。
此漏洞的技術核心在於應用程式未將用戶輸入視為純粹數據，反而將其視為可執行代碼的一部分[5]。攻擊者可透過注入如 UNION SELECT、DROP TABLE 或 INSERT 等指令，直接讀取敏感資料（機密性）、修改或刪除關鍵記錄（完整性），甚至導致資料庫服務中斷（可用性）[1][3]。根據 OWASP 的防禦指南，若開發者未停止使用動態查詢的字串拼接，並未實施參數化查詢，系統便極易暴露此類風險[6]。值得注意的是，雖然此漏洞需身分鑑別，但一旦突破，其後果等同於擁有資料庫高權限帳號，攻擊者可繞過應用程式層級的存取控制，直接對後端資料庫進行操作。
根據 TWCERT 公告，受影響的產品為 MetaGuru 開發的 HCM 系統[1]。目前官方尚未發布確認的修補版本，相關漏洞資料庫顯示「No patch information available」[5]。由於 HCM 系統通常儲存大量員工個資、薪資資料及組織架構資訊，一旦遭受 SQL Injection 攻擊，可能導致大規模個資洩漏，違反個人資料保護法相關規定[1]。
CVSS 評分中的 AV:N（Attack Vector: Network）表示攻擊者可透過網路遠端發起攻擊，無需物理接觸；AC:L（Attack Complexity: Low）顯示攻擊難度低；PR:L（Privileges Required: Low）則確認攻擊者僅需低權限（如一般員工帳號）即可利用；C:H、I:H、A:H 分別代表對機密性、完整性與可用性造成高度損害[1]。此組合顯示該漏洞具有極高的利用價值與破壞潛力，對依賴 HCM 系統進行日常營運的組織構成嚴重威脅。
針對 CVE-2026-15804 的防護策略應分為立即修補與長期防禦兩層面。由於目前尚未有官方確認的修補版本，首要措施是聯繫 MetaGuru 以獲取安全更新[5]。
在尚未完成修補前，組織可採取以下臨時防護措施：首先，部署 Web Application Firewall（WAF）並設定規則，攔截包含常見 SQL Injection 特徵（如單引號、UNION、SELECT 關鍵字）的請求，特別是針對可疑參數的過濾[2][7]。其次，實施資料庫權限最小化原則（Principle of Least Privilege），確保 HCM 應用程式使用的資料庫帳號僅擁有必要的最小權限，避免攻擊者透過注入獲得 sysadmin 等高權限[5][7]。此外，應禁用 SQL Server 上的危險擴充儲存過程（如 xp_cmdshell），以防止攻擊者利用 SQL Injection 進一步執行系統命令或進行遠端程式碼執行[2][4]。最後，定期審查資料庫與應用程式日誌，偵測是否有異常查詢行為或攻擊嘗試跡象[2]。