严重
泛微OA E-Cology /mobile/plugin/CheckServer.jsp SQL注入漏洞
披露时间：
2023-04-20
更新时间：
2025-02-10
CT 编号
CT-697307
CVE 编号
N/A
CNVD 编号
N/A
CNNVD 编号
N/A
原理分类
SQL注入
漏洞评分
9.8
漏洞描述
泛微OA E-Cology中存在SQL注入漏洞，未经身份认证的远程攻击者利用此漏洞可以获取数据库敏感信息，进一步利用可能导致系统被控。
漏洞危害
攻击者可以在易受攻击的系统上执行任意 SQL 语句。根据正在使用的后端数据库， SQL 注入漏洞会导致攻击者访问不同级别的数据/系统。在某些情况下，可以读入或写出文件，或者在底层操作系统上执行 shell 命令。
检测工具
远程检测工具下载
执行：./xray ws --poc poc-yaml-weaver-ecology-oa-plugin-checkserver-setting-sqli --url http://example.com即可扫描。
本地检测工具下载
运行 ./weaver_ecology_sqli_scanner_xxx scan
输出 是否存在漏洞：是 或者 VulnFound: true 则说明存在漏洞，Version 或者 版本号 字段为工具检测到的资产的版本。
修复方法
一、升级修复方案：
厂商已发布安全修复版本，请及时联系官方售后或客服升级至最新版本，官网地址：
https://www.weaver.com.cn/
二、临时缓解措施
1、在不影响业务的情况下配置URL访问控制策略
2、如非必要，避免将资产直接暴露在互联网
评分维度
长亭安全产品覆盖情况
雷池（SafeLine）下一代Web应用防火墙
洞鉴（X-Ray）安全评估系统
云图（Cloud Atlas）攻击面管理运营平台
牧云（CloudWalker） 主机安全管理平台
全悉（T-ANSWER）高级威胁分析预警系统
谛听（D-Sensor） 伪装欺骗系统
漏洞时间线
漏洞披露
2023-04-20
漏洞信息更新
2025-02-10
