飞企互联-FE企业运营管理平台 多处 SQL注入致RCE漏洞复现

0x01 产品简介

飞企互联-FE企业运营管理平台是一个基于云计算、智能化、大数据、物联网、移动互联网等技术支撑的云工作台。这个平台可以连接人、链接端、联通内外，支持企业B2B、C2B与O2O等核心需求，为不同行业客户的互联网+转型提供支持。其特色在于提供云端工作环境，整合了人工智能、大数据分析和物联网设备管理，为不同行业客户的互联网+转型提供全面支持。通过智能化的决策支持和数据驱动的业务优化，企业可以更灵活、高效地运营业务，实现数字化转型的战略目标。

0x02 漏洞概述

飞企互联-FE企业运营管理平台 checkGroupCode、efficientCodewidget39、ajax_codewidget39等接口存在SQL注入漏洞，未经授权攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。

0x03 影响范围

version < 7.0

0x04 复现环境

FOFA：app="FE-协作平台"

0x05 漏洞复现

PoC-1

<