泛微协同管理应用平台e-cology是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台。

近日，奇安信CERT监测到泛微e-cology9 SQL注入漏洞(QVD-2023-5012)，由于系统中存在SQL注入漏洞，未经身份认证的远程攻击者利用此漏洞可以获取数据库敏感信息，进一步利用可能导致系统被控。鉴于该产品用量较多，建议客户尽快做好自查及防护。

漏洞名称

泛微e-cology9 SQL注入漏洞

公开时间

2023-02-13

更新时间

2023-02-23

CVE编号

暂无

其他编号

QVD-2023-5012

威胁类型

代码执行、信息泄露

技术类型

SQL注入

厂商

泛微

产品

e-cology9

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

未公开

未公开

未发现

未公开

漏洞描述

泛微e-cology9中存在SQL注入漏洞，未经身份认证的远程攻击者利用此漏洞可以获取数据库敏感信息，进一步利用可能导致系统被控。

影响版本

泛微e-cology9 <= 10.55

不受影响版本

泛微e-cology9 >= 10.56

其他受影响组件

无

威胁评估

漏洞名称

泛微e-cology9 SQL注入漏洞

CVE编号

 暂无

其他编号

QVD-2023-5012

CVSS 3.1评级

高危

CVSS 3.1分数

9.8

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

所需权限（PR）

用户交互（UI）

无

不需要

影响范围（S）

机密性影响（C）

不改变

高

完整性影响（I）

可用性影响（A）

高

高

危害描述

未经身份认证的远程攻击者利用此漏洞可以获取数据库敏感信息，进一步利用可能导致系统被控。

处置建议

目前官方已发布安全补丁，建议受影响用户尽快升级至10.56及以上版本。

https://www.weaver.com.cn/cs/securityDownload.asp#

参考资料

[1]https://www.weaver.com.cn/cs/securityDownload.asp#

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。