【漏洞预警】泛微 E-cology 远程代码执行漏洞

原创 大荒Sec 太乙Sec实验室 2025-04-25 07:12

免责声明：
本公众号 太乙Sec实验室
所提供的实验环境均是本地搭建，仅限于网络安全研究与学习
。旨在为安全爱好者提供技术交流。任何个人或组织因传播、利用本公众号所提供的信息而进行的操作，所导致的直接或间接后果及损失，均由使用者本人负责。太乙Sec实验室
及作者对此不承担任何责任

漏洞预警

e-cology 是上海泛微网络推出的企业级协同办公自动化系统，面向中大型企业提供智能化、平台化、全程数字化的信息化解决方案，核心目标是提升组织协同效率与管理水平。

攻击者通过构造恶意请求→突破身份认证限制→向数据库写入恶意数据→利用 Ole 组件将数据导出为 Webshell→执行任意系统命令→获取服务器最高权限

一、漏洞基础信息

字段	详情
CNVD-ID	CNVD-2025-07886
公开日期	2025-04-22
危害级别	高（CVSS 向量：AV:N/AC:L/Au:N/C:C/I:C/A:C，表明网络可访问、低复杂度利用、无需认证、完全影响机密性 / 完整性 / 可用性）
漏洞类型	命令执行漏洞（通过 SQL 注入链实现远程代码执行）
影响产品	上海泛微网络科技股份有限公司 e-cology < 10.74
收录 / 更新时间	2025-04-22（同步更新）

二、影响范围

产品版本所有 e-cology 版本 < 10.74（包含 10.74 之前的长期支持版本及历史版本）

部署在互联网边界的 e-cology 服务器（暴露公网 IP 的资产风险极高）。

三、修复方案

官方修复（优先推荐）

升级至 
e-cology 10.74 及以上版本
，官方已在该版本中修复 SQL 注入及命令执行风险：

补丁下载链接

https://www.weaver.com.cn/cs/securityDownload.html?src=cn

操作建议
：
1. 备份数据库与系统文件后进行升级

1. 验证升级后版本号（路径：系统管理→系统信息→版本号）

往期精彩回顾

记一次在校园网中的Mysql趣味udf提权

记一次某校情平台水平越权，导致全校学生信息泄露

关注我，了解更多知识，别忘了关注+点赞哦！****