查看: 5719|回复: 0

泛微e-cology9 WorkflowServiceXml SQL注入漏洞安全风险通告

[复制链接]
匿名
匿名  发表于 2024-7-15 19:18:56 |阅读模式
漏洞概述
漏洞名称
泛微e-cology9 WorkflowServiceXml SQL注入漏洞
漏洞编号
QVD-2024-26136
公开时间
2024-07-10
影响量级
万级
奇安信评级
高危
CVSS 3.1分数
9.8
威胁类型
命令执行
利用可能性
POC状态
已公开
在野利用状态
已发现
EXP状态
未公开
技术细节状态
未公开
危害描述:在默认配置下,未授权攻击者可利用该漏洞执行任意SQL语句,从而造成任意命令执行。

01漏洞详情>>>>
影响组件

泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。
>>>>
漏洞描述

近日,奇安信CERT监测到泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)在野利用行为,在默认配置下,未授权攻击者可利用该漏洞执行任意SQL语句,从而造成任意命令执行。目前该漏洞PoC已在互联网上公开,鉴于该漏洞影响范围较大,建议客户尽快做好自查及防护。

02影响范围>>>>
影响版本

泛微e-cology9 < 10.64.1
>>>>
其他受影响组件



03复现情况
目前,奇安信威胁情报中心安全研究员已成功复现泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136),截图如下:

qw1.jpg

04受影响资产情况
奇安信鹰图资产测绘平台数据显示,泛微e-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)关联的国内风险资产总数为51855个,关联IP总数为8761个。国内风险资产分布情况如下:


05处置建议>>>>
安全更新

目前官方已发布安全补丁,建议受影响用户升级至最新版本:

泛微e-cology 9 >= 10.64.1

官方补丁下载地址:

https://www.weaver.com.cn/cs/securityDownload.html

qw3.jpg


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

指导单位

江苏省公安厅

江苏省通信管理局

浙江省台州刑侦支队

DEFCON GROUP 86025

旗下站点

邮箱系统

应急响应中心

红盟安全

联系我们

官方QQ群:112851260

官方邮箱:security#ihonker.org(#改成@)

官方核心成员

Archiver|手机版|小黑屋| ( 苏ICP备2021031567号 )

GMT+8, 2024-11-21 16:34 , Processed in 0.025480 second(s), 13 queries , Gzip On, MemCache On.

Powered by ihonker.com

Copyright © 2015-现在.

  • 返回顶部