漏洞描述
九佳易管理系统是一款广泛应用于企业管理的信息系统。在该系统的 Interface/licx/PrivilegedCodeDestroy.asmx/UpdatePrivilegedState 接口中存在严重的SQL注入漏洞。攻击者可以通过构造恶意的code参数值，向服务器数据库注入恶意SQL代码，进而执行SQL命令。 该漏洞，由于未对用户输入的code参数进行充分的过滤和验证，攻击者可以利用此漏洞直接操作数据库系统，甚至通过启用SQL Server的xp_cmdshell存储过程，实现远程命令执行（RCE），完全控制目标服务器。