泛微E-Cology9 WorkPlanService 前台SQL注入漏洞复现(XVE-2024-18112)

已于 2024-07-26 16:46:41 修改
阅读量880 收藏
点赞数 4
分类专栏： 漏洞复现 文章标签： 安全 web安全
于 2024-07-26 16:45:32 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41904294/article/details/140719353
版权

0x01 产品简介

泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。

0x02 漏洞概述

2024年7月，泛微官方发布了新补丁，修复了一处SQL注入漏洞。经分析，攻击者无需认证即可利用该漏洞，建议受影响的客户尽快修复漏洞。

漏洞成因

该漏洞是由于泛微e-cology未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现 SQL 注入漏洞。

漏洞影响

攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限。

0x03 影响范围

泛微E-Cology9 < 10.65.0

0x04 复现环境

FOFA：app="泛微-OA（e-cology）"

0x05 漏洞复现<

了解本专栏 订阅专栏 解锁全文 超级会员免费看
0xSecl
关注
  • 4
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
泛微 OA e-cology9 存在 sql 注入
nnn2188185的博客
04-29 1445
微信公众号搜索：南风漏洞复现文库该文章 南风漏洞复现文库 公众号首发泛微 E-Cology9 协同办公系统是一套基于 JSP 及 SQL Server 数据库的 OA 系统，包括知识文档管理、人力资源管理、客户关系管理、项目管理、财务管理、工作流程管理、数据中心等打造协同高效的企业管理环境，突破企业人、财、物、信息、流程等各种资源之间的屏障，并将集团各企业、企业各部门、各分支机构、以及企业与外部的供应商、分销商、客户及其他合作伙伴等整合在一个统一的平台上，使企业变成一个电子化的内外部协同工作的组织。
泛微E-Cology WorkflowServiceXml SQL注入漏洞复现(QVD-2024-26136)
0xSec
07-12 1817
2024年7月，泛微官方发布了新补丁，修复了一处SQL注入漏洞。经分析，攻击者无需认证即可利用该漏洞，建议受影响的客户尽快修复漏洞。
【漏洞复现】E-Cology OA——WorkflowServiceXml——SQL注入
LongL_GuYu的博客
07-20 676
E-Cology OA协同商务系统是一款面向中大型组织的数字化办公产品，它基于全新的设计理念和管理思想，旨在为中大型组织创建一个全新的高效协同办公环境。其WorkflowServiceXml接口存在sql注入，恶意攻击者可能会向数据库发送构造的恶意SQL查询语句，以获取数据库敏感信息、修改数据或者执行其他恶意操作，还有可能直接通过sql注入获取服务器权限。
泛微e-cology WorkflowServiceXml SQL注入漏洞(POC)
m0_62584974的博客
07-16 952
泛微 e-cology v10.64.1的/services/接口默认对内网暴露，用于服务调用，未经身份认证的攻击者可向 /services/WorkflowServiceXml 接口发送恶意的SOAP请求进行SQL注入，攻击者通过漏洞可以获取服务器数据库敏感信息。分析：基于当前情报，漏洞可能被用于攻击e-Cology WorkflowServiceXml系统，建议更新系统补丁、加强输入验证和限制访问权限。更新e-Cology WorkflowServiceXml系统到最新版本。
【漏洞复现】泛微e-cology9 WorkflowServiceXml SQL注入漏洞
今天是几号的博客
07-15 1733
泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。漏洞名称泛微e-cology9 WorkflowServiceXml SQL注入漏洞公开时间2024-07-10威胁类型命令执行。
泛微e-cology 9 WorkflowServiceXml接口处SQL注入漏洞复现 [附POC]
薛定谔嘚喵博客
07-26 542
泛微e-cology 9 WorkflowServiceXml接口处存在SQL注入漏洞，攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
【漏洞复现】泛微E-Cology WorkflowServiceXml SQL注入漏洞
失心少年
07-22 490
泛微E-Cology 是一款协同管理平台，旨在为中大型组织创建全新的高效协同办公环境。包含流程、门户、知识、人事、沟通、客户、项目、财务等 20多个功能模块。该系统WorkflowServiceXml接口处未对用户输入进行有效过滤，直接将其拼接进了SQL语句中，导致SQL注入漏洞，会导致数据泄露。技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。
泛微e-cology9 SQL注入漏洞复现(QVD-2023-5012)
热门推荐
0xSec
03-20 1万+
泛微e-cology9中存在SQL注入漏洞，未经身份认证的远程攻击者即可利用此漏洞获取数据库敏感信息，进一步利用可能导致目标系统被控。
泛微E-Cology getLabelByModule SQL注入漏洞复现
0xSec
01-18 1183
由于泛微e-cology未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。远程未授权攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限等。
【漏洞复现】泛微E-Cology9 WorkPlanService 前台SQL注入
最新发布
今天是几号的博客
07-29 789
泛微E-Cology9 中的 /services/WorkPlanService 接口存在SQL注入漏洞，攻击者可构造SOAP 请求进行SQL注入，窃取或修改数据库敏感信息，进一步利用可能获取目标系统权限。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。作者不对任何因使用本文信息或工具而产生的损失或后果承担任何责任。使用本文所提供的信息或工具即视为同意本免责声明，并承诺遵守相关法律法规和道德规范。本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
x微E-Cology WorkflowServiceXml RCE
thelostworld
05-16 6492
x微E-Cology WorkflowServiceXml RCE‍‍一、漏洞描述泛微E-cology OA系统的WorkflowServiceXml接口可被未授权访问，攻击者调用该接口，可构造特定的HTTP请求绕过泛微本身一些安全限制从而达成远程代码执行。‍二、漏洞影响E-cology <= 9.0‍三、漏洞复现‍‍访问主页：POC：POST /services%20/WorkflowServiceXml HTTP/1.1 Accept-Encoding: gzip, deflate Content
泛微-云桥e-Bridge SQL注入漏洞复现
0xSec
12-12 1651
由于泛微-云桥e-Bridge平台/taste/addTaste接口处存在SQL注入漏洞，未经身份认证的攻击者可以通过此漏洞获取数据库权限，获取用户密码等重要凭据，使系统处于极不安全状态。
用友U8 CRM swfupload 任意文件上传漏洞复现(XVE-2024-8597)
qq_39894062的博客
04-20 803
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。
【漏洞复现】泛微OA E-cology8 SptmForPortalThumbnail.jsp 任意文件读取漏洞
凝聚力安全团队
06-19 649
泛微新一代移动办公平台e-cology不仅组织提供了一体化的协同工作平台,将组织事务逐渐实现全程电子化,改变传统纸质文件、实体签章的方式。泛微 e-cology8 的 SptmForPortalThumbnail.jsp 文件中的 preview 未进行安全过滤，攻击者可通过该漏洞读取泄露源码、数据库配置文件等等，导致网站处于极度不安全状态。
泛微 e-cology SQL注入漏洞复现
07-12 1983
此文章仅用于技术交流，严禁用于对外发起恶意攻击！！！
0day 未公开 泛微E-Cology 存在源码信息泄露漏洞
weixin_43167326的博客
07-09 963
泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

0xSecl

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值