天锐绿盾审批系统 trwfe/login.jsp/.%2e/user/findUserPageExcludeCurrentUser.do SQL 注入漏洞

天锐绿盾审批系统中的/trwfe/login.jsp/.%2e/user/findUserPageExcludeCurrentUser.do接口存在SQL注入漏洞，该接口用于加载系统菜单模块页面，由于未对sort参数进行严格的输入校验和参数化处理，攻击者可构造恶意SQL语句片段注入到请求参数中，利用MySQL的sleep函数实现时间盲注，窃取数据库敏感数据。