深圳市北京南北天地科技股份有限公司ERP系统存在sql注入

    深圳市北京南北天地科技股份有限公司ERP系统存在sql注入，攻击者可以利用该漏洞执行任意SQL语句，如查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。

0x02漏洞复现

1、fofa

body="./open/webApi.html"

2、部分界面如下

3、隐患url

/StandardApiAction_vehicleTTS.action?DevIDNO=500000&Flag=4&Text=rrrrrvvv&jsession=0

4、Sqlmap验证如下

0x03修复建议

1、升级到安全版本2、采用sql语句预编译和绑定变量。

0x04知识大陆

    因为很多未公开或者小范围公开的漏洞不能直接发公众号，所以后面部分漏洞会直接整理发表在知识大陆，持续更新，目前进入需要19.9元。（收费主要是想参与freebuf知识大陆活动），持续更新中，链接如下：

https://wiki.freebuf.com/front/societyFront?invitation_code=2f34044b&society_id=107&source_data=2

    加入帮会后扫描二维码加入群聊，（超200人需要一个一个拉比较麻烦，索性直接建立个2群，已加入的就不要重复加了，感谢）。

京信通信系统中国有限公司CPE-WiFi存在任意用户添加&命令执行

泛微 emessage 管理界面存在任意文件读取漏洞

飞企互联企业运营管理平台存在任意文件读取

泛微e-office OfficeServer2.php 存在任意文件读取漏洞复现

广联达OA存在信息泄露漏洞复现

NUUO 摄像头远程命令执行漏洞

Panabit panalog 任意用户创建漏洞和后台命令执行

用友U8 slbmbygr.jsp 存在sql注入

用友移动系统管理存在前台SQL注入漏洞

金盘移动图书馆系统 download.jsp 任意文件下载

大华智慧园区管理平台存在任意文件读取

广州图创计算机软件开发有限公司图书馆集群管理系统存在逻辑绕过

深圳市强鸿电子有限公司鸿运主动安全云平台存在任意文件下载漏洞