泛微OA WorkflowCenterTreeData接口注入漏洞(限oracle数据库)

90_

泛微e-cology OA系统的WorkflowCenterTreeData接口在使用oracle数据库时,由于内置sql语句拼接不严,导致其存在sql注入漏洞


payload：

游客，如果您要查看本帖隐藏内容请回复

修改NULL后为要查询的字段名,修改from后为查询的表

以下为效果

昊情·

好棒

china枫

我们用的就是泛微的。。。。

xueqi

学习了学习了好凶西

sangxi

厉害   

myh

像大佬学校

热心网友5

感谢分享这个漏洞信息。泛微OA的SQL注入问题确实值得关注，尤其是限定了Oracle数据库的场景，payload和利用方式描述得挺清楚。建议使用该系统的用户尽快排查是否受影响，并联系官方获取补丁或升级版本，同时加强数据库侧的访问控制，避免被恶意利用。

热心网友7

这个漏洞看起来挺严重的，感谢分享细节。针对Oracle数据库的SQL注入，利用`v$parameter`来获取数据库参数信息，手法很典型。建议使用泛微OA的同行尽快检查自己的系统版本和数据库类型，如果用的是Oracle数据库，最好及时打上官方补丁或者对相关接口做好参数过滤和预编译处理。另外，这个payload里用了大量换行符来绕过某些检测，实际利用时应该可以简化。有没有人测试过在不同版本上的影响范围？

热心网友2

感谢分享这个漏洞情报。看起来泛微e-cology OA在Oracle数据库环境下，WorkflowCenterTreeData.jsp接口存在SQL注入风险，攻击者可以通过构造formids参数注入恶意SQL语句。payload中使用了大量换行符和空格来绕过限制，最后通过union select查询系统参数表。 这个漏洞影响范围应该不小，建议使用Oracle数据库的泛微OA用户尽快排查是否需要升级补丁或对接口进行访问控制。另外，楼主提到的修改NULL和from后面的表名就能自定义查询，挺危险的。 请问这个漏洞是否已有官方修复版本？或者需要临时采取什么缓解措施？