【复现】泛微Ecology前台SQL注入漏洞风险通告
原文链接: https://mp.weixin.qq.com/s?__biz=MzkxMDQyMTIzMA==&mid=2247484909&idx=1&sn=f7c17bd3c58d6e06afe0eee7178e533f
【复现】泛微Ecology前台SQL注入漏洞风险通告
赛博昆仑CERT 2025-07-09 02:01
- 赛博昆仑漏洞
安全风险通告
泛微Ecology前台SQL注入漏洞风险通告
漏洞描述
泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，形成了一系列的通用解决方案和行业解决方案。
赛博昆仑CERT监测到泛微E-cology9 存在SQL注入漏洞，未经过身份认证的攻击者可以利用该漏洞获取到数据库的敏感信息，可能造成信息泄露或权限提升，结合后台远程代码执行漏洞可以完全控制服务器。泛微已经发布新补丁v10.76修复了该前台sql注入漏洞。
|
漏洞名称 |
泛微Ecology前台sql注入漏洞 |
||
|
漏洞公开编号 |
暂无 |
||
|
昆仑漏洞库编号 |
CYKL-2025-017104 |
||
|
漏洞类型 |
SQL注入 |
公开时间 |
2025年7月 |
|
漏洞等级 |
高危 |
评分 |
暂无 |
|
漏洞所需权限 |
无权限要求 |
漏洞利用难度 |
低 |
|
PoC状态 |
未知 |
EXP状态 |
未知 |
|
漏洞细节 |
未知 |
在野利用 |
已知 |
影响范围
e-cology9 并且 补丁版本 < 10.76
漏洞复现
目前，赛博昆仑CERT已成功复现
泛微Ecology前台sql注入执行漏洞，延时8秒。
防护措施
– 修复建议
目前，官方已发布安全补丁，建议受影响的用户尽快联系厂商获取安全补丁。
- 技术业务咨询
赛博昆仑支持对用户提供轻量级的检测规则或热补方式，可提供定制化服务适配多种产品及规则，帮助用户进行漏洞检测和修复。
赛博昆仑CERT已开启年订阅服务，付费客户(可申请试用)将获取更多技术详情，并支持适配客户的需求。
联系邮箱：
[email protected]
公众号：赛博昆仑CERT
时间线
2025年7月，官方发布补丁v10.76修复漏洞
2025年7月9日，赛博昆仑CERT发布漏洞风险通告
技术业务咨询
