泛微e-cology ＜ 10.76 前台SQL注入漏洞

【高危】泛微e-cology < 10.76 前台SQL注入漏洞

漏洞描述

泛微e-cology是泛微公司开发的协同管理应用平台。
受影响版本中，攻击者可未授权通过/api/doc/out/more/list接口构造恶意参数注入恶意sql语句到临时存储redis，进而通过/api/ec/dev/table/counts接口从临时存储redis取出恶意sql语句执行，造成未授权SQL注入漏洞，攻击者可能进一步写入Webshell导致远程代码执行。

MPS编号	MPS-g5i1-o9fw
CVE编号	-
处置建议	建议修复
发现时间	2025-07-09
利用成本	低
利用可能性	中
是否有POC	否

影响范围

影响组件	受影响的版本	最小修复版本
e-cology	(-∞, 10.76)	10.76

参考链接

https://www.weaver.com.cn/cs/security/edm20250704_opiurutjvmopimdwytdc.html

https://www.oscs1024.com/hd/MPS-g5i1-o9fw

排查方式

手动排查

检查系统版本：登录泛微e-cology后台，查看版本号是否小于10.76。
检查接口日志：查看服务器访问日志，筛选/api/doc/out/more/list和/api/ec/dev/table/counts接口记录，检查参数是否含单引号、union等SQL注入特征字符。

一键自动排查全公司此类风险

墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。

试用地址：https://www.murphysec.com/apply?code=93XQ

提交漏洞情报：https://www.murphysec.com/bounty

处置方式

应急缓解方案

• 立即通过WAF或应用防火墙阻断对/api/doc/out/more/list和/api/ec/dev/table/counts接口的未授权访问
• 对上述接口配置严格的参数校验规则，过滤特殊字符及SQL关键字
• 限制Redis服务仅允许应用服务器本地访问，修改默认端口并启用认证
• 启用应用系统审计日志，重点监控上述接口的访问记录及SQL执行日志

根本修复方案

• 立即升级至泛微e-cology 10.76或更高安全版本
• 升级前应参考官方升级指南进行环境检查和数据备份
• 升级完成后验证/api/doc/out/more/list和/api/ec/dev/table/counts接口的参数过滤机制是否生效
• 定期关注泛微官方安全公告(https://www.weaver.com.cn/cs/security/)，及时获取安全更新