快普M6SalaryAccounting接口存在SQL注入_salaryaccounting(1)

---

中华人民共和国网络安全法

第二十七条 规定

任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

---

0x01、概述

基本信息：

快普M6pro产品主要解决这些行业的集成管理、销售管理、运维管理、租赁管理、协同办公管理和供应链财务管理等管理需求，建立可持续发展的经营管理模式，彻底消除信息孤岛和管理死角。

漏洞描述：

快普M6 的  /WebService/HR/Salary/SalaryAccounting.asmx  接口处存在SQL注入漏洞，攻击者可以窃取用户的隐私信息、业务数据等，造成用户信息泄露、企业品牌受损、法律风险等相关安全问题。

0x02、资产测绘

FOFA：

body=“Resource/JavaScript/jKPM6.DateTime.js”
app=“快普-M6”