泛微e-cology < v10.75 /js/hrm/getdata.jsp 未授权SQL注入漏洞

北京赛克艾威科技有限公司 2025-06-17

漏洞编号：暂无
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2025-06-17

漏洞描述

泛微e\-cology是泛微公司开发的协同管理应用平台。受影响版本中，/js/hrm/getdata.jsp 存在 SQL 注入漏洞，由于其中调用 weaver.hrm.common.AjaxManager.getData 方法，用户可控参数经过两次 URL 解码后，最终被拼接至：append\(" and t.id \= "\).append\(StringUtil.vString\(map.get\("id"\)\)\)处，导致 SQL 注入漏洞，攻击者可能进一步写入Webshell导致远程代码执行。修复版本通过对用户可控的参数进行强制数字转换，防止SQL注入漏洞。