安全通告
泛微ecology9 SQL注入漏洞預(yù)警通告
發(fā)布日期：2023-3-1
?
漏洞描述
2023年3月1日公司監(jiān)測(cè)到泛微官方發(fā)布安全補(bǔ)丁，修復(fù)了一個(gè)SQL注入漏洞。泛微 E-Cology9 協(xié)同辦公系統(tǒng)是一套基于 JSP 及 SQL Server 數(shù)據(jù)庫(kù)的 OA 系統(tǒng)，兼具企業(yè)信息門戶、知識(shí)文檔管理、工作流程、管理、人力資源管理、客戶關(guān)系管理、項(xiàng)目管理、財(cái)務(wù)管理、資產(chǎn)管理、供應(yīng)鏈管理、數(shù)據(jù)中心功能的企業(yè)大型協(xié)同管理平臺(tái)。由于泛微e-cology9中對(duì)用戶輸入的數(shù)據(jù)驗(yàn)證存在缺陷，未經(jīng)身份驗(yàn)證的攻擊者通過構(gòu)造特制數(shù)據(jù)包，最終可獲取數(shù)據(jù)庫(kù)中的敏感信息。
漏洞編號(hào)
CNVD-2023-12632
漏洞危害
攻擊者通過構(gòu)造特制數(shù)據(jù)包，最終可獲取數(shù)據(jù)庫(kù)中的敏感信息。
漏洞等級(jí)
嚴(yán)重
受影響版本
泛微e-cology9<=10.55
修復(fù)方案
目前官方已發(fā)布安全補(bǔ)丁修復(fù)了該漏洞，請(qǐng)受影響的用戶盡快升級(jí)版本進(jìn)行防護(hù)，官方下載鏈接如下：
https://www.weaver.com.cn/cs/securityDownload.asp#
參考鏈接
https://x.threatbook.com/v5/article?threatInfoID=42915