用友NCCloud系统runScript存在SQL注入漏洞

最新推荐文章于 2024-06-24 11:34:14 发布

qq_36334672

最新推荐文章于 2024-06-24 11:34:14 发布

阅读量404

点赞数 3

文章标签： sql 数据库 web安全安全

本文链接：https://blog.csdn.net/qq_36334672/article/details/137110913

版权

本文详细介绍了用友NC Cloud系统runScript接口存在的SQL注入漏洞，攻击者能利用此漏洞通过构造恶意SQL输入，非法访问、修改或删除数据库敏感信息。POC包括nuclei检测方法，建议更新到最新版本以修复问题。

摘要由CSDN通过智能技术生成

1.漏洞介绍

用友NC Cloud系统中的runScript接口被发现存在SQL注入（SQL Injection）安全漏洞。攻击者通过构造恶意的输入数据，能够将非法的SQL命令插入到原本正常的数据库查询语句中，从而绕过授权机制，未经授权地直接访问、修改或删除数据库中的敏感信息

2.漏洞编号

CVE	CNVD	CNNVD
-	-	-

3.影响范围

名称	版本号
	-

4.检索特征

FOFA：body=“UClient.dmg”||app=“用友-U8-Cloud”

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

5.POC

POST /ncchr/attendScript/internal/runScript HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) Apple

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

qq_36334672

关注关注

3
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

【漏洞复现】用友-NC-Cloud-runScript-sql注入

知黑而守白

03-19

187

NC Cloud是用友公司推出的大型企业数字化平台。支持公有云、混合云、专属云的灵活部署模式。NC Cloud完全基于云原生架构，技术先进、性能稳定、自主安全可控，支撑大中型以及超大型集团企业N层多site混合云部署方案，支持整个系统高可用、弹性扩展、双/多活，以及快速灾备恢复能力等。用友NC Cloud系统 runScript 接口存在SQL注入漏洞。攻击者可以通过构造恶意的SQL语句，成功注入并执行恶意数据库操作，可能导致敏感信息泄露、数据库被篡改或其他严重后果。

用友-nc-cloud runscript接口sql注入漏洞

weixin_43567873的博客

03-20

311

用友-nc-cloud runscript接口sql注入漏洞

参与评论您还未登录，请先登录后发表或查看评论

用友NC Cloud runScript SQL注入漏洞复现_友nc cloud系统runscript存在sql注入漏洞复现

2401_83974199的博客

04-14

441

用友NC Cloud /ncchr/attendScript/internal/runScript接口处存在SQL注入漏洞，未授权的攻击者可以通过此漏洞获取数据库权限，进一步利用可导致服务器失陷。

【HW必备】用友NC-Cloud存在17处漏洞合集

最新发布

wananxuexihu的博客

06-24

1501

漏洞挖掘是指通过分析软件、系统或网络中存在的安全漏洞来发现并利用这些漏洞。漏洞挖掘是信息安全领域的一项重要工作，可以帮助企业和组织提高系统的安全性，避免黑客攻击和数据泄露。漏洞挖掘的流程一般可以概括为以下几个步骤：确定目标：确定要挖掘的软件或系统。这可能是一个应用程序、操作系统、网络设备或其他系统。收集信息：收集有关目标的信息，包括架构、协议、版本和配置等。这些信息可以通过互联网搜索、手动扫描、自动化工具和其他途径获得。分析漏洞：通过手动和自动化技术进行漏洞分析，识别潜在的漏洞类型和攻击面。

【漏洞复现】用友NC Cloud-runScript-SQL注入漏洞

Nday_Seeker

03-20

1057

用友NC Cloud系统中的runScript接口被发现存在SQL注入（SQL Injection）安全漏洞。攻击者通过构造恶意的输入数据，能够将非法的SQL命令插入到原本正常的数据库查询语句中，从而绕过授权机制，未经授权地直接访问、修改或删除数据库中的敏感信息。

用友U8 CRM swfupload 任意文件上传漏洞复现(XVE-2024-8597)

qq_39894062的博客

04-20

881

用友NC Cloud runScript SQL注入漏洞复现

0xSec

03-20

704

用友NCCloud /ncchr/attendScript/internal/runScript接口处存在SQL注入漏洞，未授权的攻击者可以通过此漏洞获取数据库权限，进一步利用可导致服务器失陷。

0day漏洞-用友NC Cloud系统attendScript接口存在SQL注入漏洞

weixin_43167326的博客

03-20

892

用友NC Cloud大型企业数字化平台，深度应用新一代数字智能技术，完全基于云原生架构，打造开放、互联、融合、智能的一体化云平台，聚焦数智化管理、数智化经营、数智化商业等三大企业数智化转型战略方向，提供涵盖数字营销、财务共享、全球司库、智能制造、敏捷供应链、人才管理、智慧协同等18大解决方案，帮助大型企业全面落地数智化。该系统runscript 接口存在SQL注入漏洞，恶意攻击者可能会利用此漏洞获取服务器敏感信息，最终导致服务器失陷。

【漏洞复现】用友NC Cloud 存在SQL注入

KKleeeaa的博客

03-25

274

的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。Aniya网络安全及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。声明：亲爱的读者，我们诚挚地提醒您，Aniya。0x01FOFA语句。0x02 漏洞POC。

用友 NC showcontent SQL注入漏洞复现

0xSec

04-20

636

用友NC /ebvp/infopub/showcontent 接口处存在SQL注入漏洞，未经身份验证的恶意攻击者利用 SQL 注入漏洞获取数据库中的信息（例如管理员后台密码、站点用户个人信息）之外，攻击者甚至可以在高权限下向服务器写入命令，进一步获取服务器系统权限。

【漏洞复现】用友NC Cloud-runScript-SQL注入漏洞_用友 nc cloud runscript sql注入漏洞复现

2401_84972830的博客

05-13

410

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！

用友NC linkVoucher SQL注入漏洞复现(XVE-2024-12622)

0xSec

05-27

1013

用友NC /portal/pt/yercommon/linkVoucher 接口存在SQL注入漏洞，攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。

用友NC 漏洞汇总(转载)

xiaobai_20190815的博客

11-21

9218

用友NC 漏洞汇总

用友OA/NC/NCCloud SQL注入任意文件上传和读取RCE复现渗透测试记录

kelenwait的博客

06-23

7785

简介用友公司成立于1988年，全面提供具有自主知识产权的企业管理/ERP软件、服务与解决方案，是中国最大的管理软件、ERP软件、集团管理软件、人力资源管理软件、客户关系管理软件及小型企业管理软件提供商。漏洞情况用友OA_U8 存在SQL 注入用友NCCloud FS文件管理 SQL 注入用友NC bsh.servlet.BshServlet 远程命令执行用友NC 任意文件上传 getShell 漏洞复现 1.用友 OA_U8 SQL 注入 poc /yyoa/common/js/menu/tes

用友OA/NC/NCCloud漏洞集合

qq_53229503的博客

08-16

8593

用友OA/NC/NCCloud漏洞集合

用友OA漏洞复现手册