2023年05月15日,泛微官方发布10.57.2版本安全补丁。其中修复了两个漏洞,分别是信息泄漏和任意用户登录漏洞,两个漏洞可以被攻击者组合起来利用,从而能够使攻击者进入到系统后台。 影响版本 在9.00.2110.01以及之前的版本是不受该漏洞的影响的,在9.00.2206.02以及之后的版本可能会受到该漏洞的影响,而在这两个版本之间的...
漏洞名称 泛微e-cology9 WorkflowServiceXml SQL注入漏洞 公开时间 2024-07-10 威胁类型 命令执行 漏洞描述 在默认配置下,未授权攻击者可利用该漏洞执行任意SQL语句,从而造成任意命令执行。 影响范围 泛微e-cology9 < 10.64.1 漏洞复现 代码语言:javascript 代码运行次数:0 复制Cloud Studio 代码运行 POST /services...
泛微E-Cology9 是泛微网络科技股份有限公司开发的一款高效、灵活、全面的企业信息化办公系统。 泛微E-Cology9 中的 /services/WorkPlanService 接口存在SQL注入漏洞,攻击者可构造SOAP 请求进行SQL注入,窃取或修改数据库敏感信息,进一步利用可能获取目标系统权限。 影响范围 泛微补丁包<10.65.0 0x01 测绘工具 fofa: app...
一、漏洞确认 泛微e-cology9的WorkflowServiceXml组件确实存在SQL注入漏洞。该漏洞允许未经身份认证的攻击者通过发送恶意的SOAP请求,构造并执行任意的SQL语句,进而可能导致数据泄露、数据篡改或远程命令执行等严重后果。 二、漏洞原因及位置 漏洞产生的原因在于泛微e-cology9的WorkflowServiceXml接口未对用户输入进行有效的过...
泛微e-cology OA 远程代码执行漏洞复现 复现过程: 直接使用FOFA搜索语法搜索,找了好久才找到含有漏洞的站点。 在根目录后面输入漏洞路径: /weaver/bsh.servlet.BshServlet 进入BeanShell操作页面 在Script中输入语句,结果会在Script Output中输出。 输入exec("whoami") 结果如图,可知这个系统是windows系统,查看/etc/...
泛微E-Cology CheckServer.jspSQL注入漏洞(QVD-2023-9849) 复现 1.漏洞描述 泛微Ecology OA 系统对用户传入的数据过滤处理不当,导致存在 SQL 注入漏洞,未经过身份认证的远程攻击者可利用此漏洞执行任意SQL指令,从而窃取数据库敏感信息。 影响版本:泛微 Ecology 9.x 相关阅读: 1、Oracle怎么建连接服务器? 2、...
近日,奇安信CERT监测到厂商发布安全补丁更新,修复泛微E-Cology SQL注入漏洞(QVD-2023-15672)在内的多个漏洞。远程未授权攻击者可利用此漏洞获取敏感信息,进一步利用可能获取目标系统权限等。鉴于此漏洞影响范围较大,建议天守客户尽快做好自查及防护。
泛微E-Cology ofsLogin任意用户登陆漏洞 简介:泛微e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。 声明 本篇文章仅用于漏洞复现与技术研究,请勿利用文章内的相关技术从事非法测试,所产生的一切...
2019年9月17日泛微OA官方更新了一个远程代码执行漏洞补丁,泛微e-cology OA系统的J**A Beanshell接口可被未授权访问,攻击者调用该Beanshell接口,可构造特定的HTTP请求绕过泛微本身一些安全限制从而达成远程命令执行,漏洞等级严重。 漏洞信息 漏洞名称泛微OA E-cology 远程代码执行漏洞 CVE编号 - CNVD编号 CNVD-2019-322...
2019年9月17日泛微OA官方更新了一个远程代码执行漏洞补丁,泛微e-cology OA系统的J**A Beanshell接口可被未授权访问,攻击者调用该Beanshell接口,可构造特定的HTTP请求绕过泛微本身一些安全限制从而达成远程命令执行,漏洞等级严重。 漏洞信息 漏洞名称泛微OA E-cology 远程代码执行漏洞 CVE编号 - CNVD编号 CNVD-2019-322...