宏景人力资源管理系统 searchCreatPlanList.do SQL注入漏洞(CNVD-2025-6953)

已于 2025-03-31 09:05:29 修改
阅读量408 收藏
点赞数 7
CC 4.0 BY-SA版权
分类专栏： 漏洞复现集合 文章标签： SQL注入 web安全
于 2025-03-31 09:04:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43540348/article/details/146798834

免责声明

仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

一：产品介绍

宏景人力资源管理系统是一款专业、高效的一体化HR管理平台，涵盖组织架构、招聘管理、员工档案、考勤薪资、绩效培训等核心模块，通过智能化流程与数据分析助力企业实现人力资源数字化转型升级。系统支持云端/本地部署，提供灵活配置与移动端应用，有效提升管理效率、降低人力成本，满足中大型企业复杂管理需求，同时确保数据安全与合规性。

二：漏洞描述

宏景人力资源管理系统（HCM）的 searchCreatPlanList.do 接口存在 SQL注入漏洞，攻击者可利用该漏洞构造恶意请求，向数据库注入非法SQL指令，从而窃取、篡改或删除敏感数据（如员工信息、薪资记录等）。该漏洞可能由于未对用户输入进行严格过滤或参数化查询导致，属于高危安全风险，建议企业及时更新补丁或采取防护措施（如WAF、输入校验等）以避免数据泄露风险。

三：复现环境

app="HJSOFT-HCM"

在这里插入图片描述

四：漏洞复现

POC如下

了解本专栏 订阅专栏 解锁全文 超级会员免费看
宏景eHR sduty/getSdutyTree SQL注入漏洞复现
0xSec
07-04 1019
​宏景eHR /servlet/sduty/getSdutyTree 接口处存在SQL注入漏洞，,未经身份验证的远程攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。
【漏洞复现】宏景HCM人力资源信息管理系统——openFile-文件读取
LongL_GuYu的博客
06-29 1322
宏景HCM人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，其`openFile接口`存在任意文件读取漏洞，未授权攻击者可以利用其读取网站配置文件等敏感信息。
【漏洞复现】宏景人力资源信息管理系统 showmediainfo SQL注入漏洞
https://blog.echo234.cn/
04-04 1778
宏景科技是一家在智慧城市综合服务领域具有显著影响力的企业。公司以数字赋能百业兴旺，以智慧定义城市未来，致力于让城市管理更简单，让市民工作、生活更便捷。作为行业的佼佼者，宏景科技不断跟进物联网、大数据、云计算、GIS、人工智能等新技术的最新发展及应用，积极掌握并实现核心技术的更新迭代，积累了一定的技术储备。
【漏洞复现】宏景HCM人力资源信息管理系统——LoadOtherTreeServlet——SQL注入
LongL_GuYu的博客
07-13 1163
宏景HCM人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，旨在帮助企事业单位构建高绩效组织，推动组织健康成长，提升组织软实力。其`LoadOtherTreeServlet`接口处对传入的数据没有预编译和充足的校验，导致该接口存在SQL注入漏洞，未授权的攻击者可获取数据库敏感信息。
宏景eHR downlawbase SQL注入漏洞复现
qq_36334672的博客
03-30 461
​ 宏景eHR人力资源管理软件是一款人力资源管理与数字化应用相融合，满足动态化、协同化、流程化、战略化需求的软件。面向复杂单组织或多组织客户，支持流程，B/S架构。特别适合集团化管理和跨地域使用的产品，融合了最新的互联网技术和先进的人力资源管理理念和实践，更好地支持异地办公和网上流程，加强了人力资源业务的集中管理和协同，支持集团管控、目标管理、领导决策等应用。
宏景eHR searchCreatPlanList.do SQL注入漏洞复现(CNVD-2025-6953)
0xSec
01-17 2845
​宏景eHR searchCreatPlanList.do 接口处存在SQL注入漏洞，,未经身份验证的远程攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具
11-07
宏景HCM SQL注入漏洞(CNVD-2023-08743) ，hrms加解密工具。需要 Java1.8 环境，执行如下命令启动 HrmsTool 工具， -e 是加密， -d 是解密。 $ java -jar HrmsTool.jar Usage: java -jar HrmsTool.jar -e xxx java ...
宏景eHR showmedia.jsp SQL注入漏洞复现
0xSec
05-28 810
​宏景eHR showmedia.jsp 接口处存在SQL注入漏洞，未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令，从而窃取数据库敏感信息。
CNVD-2023-08743：宏景HCM SQL注入漏洞复现 [附POC]
薛定谔嘚喵博客
11-07 2954
宏景HCM系统 categories处存在SQL注入漏洞，未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令，从而窃取数据库敏感信息。
1day CRMEB开源电商系统 products 接口处存在SQL注入
weixin_43167326的博客
06-18 799
CRMEB开源电商系统是遥遥领先的开源电商系统，框架采用Tp6+MySQL+elementUI+uniapp，商城系统可商用；前后台都支持风格切换，包含小程序商城、H5商城、公众号商城、App，支持多语言、分销、拼团、砍价、秒杀、优惠券、积分、抽奖、会员等级、小程序直播、页面DIY，前后端分离，方便二开，使用文档、接口文档、数据字典、代码生成、二开文档/视频教程。
宏景eHR SQL注入漏洞复现（CNVD-2023-08743）
0xSec
05-30 5404
宏景eHR 存在SQL注入漏洞，未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令，从而窃取数据库敏感信息。
【漏洞复现】宏景人力资源信息管理系统 DisplayExcelCustomReport 任意文件读取漏洞
https://blog.echo234.cn/
04-04 1279
宏景人力资源信息管理系统是一款全面覆盖人力资源管理各模块的软件，旨在帮助企事业单位构建高绩效组织，推动组织健康成长，提升组织软实力。系统功能包括人员、组织机构、档案、合同、薪资、保险、绩效、考勤、招聘、培训、干部任免和人事流程等业务的管理，以及人事、绩效、培训、招聘、考勤等业务自助，还具备报表功能和灵活的表格工具，支持集团管控、目标管理、领导决策等应用。宏景人力资源信息管理系统DisplayExcelCustomReport存在任意文件读取漏洞，攻击者可通过该漏洞获取敏感信息。
宏景eHR 任意文件上传漏洞复现（0day）
0xSec
07-24 5438
宏景eHR OfficeServer.jsp接口处存在任意文件上传漏洞，未经过身份认证的远程攻击者可利用此漏洞上传任意文件，最终可导致服务器失陷。
【漏洞复现】宏景HCM-LoadOtherTreeServlet SQL注入
weixin_54799594的博客
07-11 1662
漏洞复现过程记录
宏景EHR view接口sql注入漏洞
Keepb1ue的博客
01-12 1089
宏景eHR人力资源管理软件是一款人力资源管理与数字化应用相融合，满足动态化、协同化、流程化、战略化需求的软件.宏景eHR view接口处存在SQL注入漏洞，未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令，从而窃取数据库敏感信息。
宏景eHR人力资源管理系统接口searchCreatPlanList存在SQL注入
swordheart的博客
05-20 246
宏景eHR searchCreatPlanList.do接口处存在sql注入，未经身份验证的远程攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该问题利用难度低，建议尽快修复。
漏洞复现-宏景HJSOFT系列
aming小老弟
03-15 1729
宏景HCM--------------------------------------------fofa:app=“HJSOFT-HCM”
宏景人力资源信息管理系统KhFieldTree接口SQL注入漏洞复现过程
最新发布
09-04
由于没有直接关于宏景人力资源信息管理系统KhFieldTree接口SQL注入漏洞复现过程的内容，可参考其他类似接口的复现思路进行推测。 对于宏景HCM人力资源信息管理系统的LoadOtherTreeServlet接口，其因对传入的数据...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值