科汛新职教网校系统 漏洞列表

CheckOrder接口对用户输入的 orderid参数未做严格的安全过滤和校验，攻击者可以提交恶意的SQL代码（Payload）作为参数的一部分，这些代码被直接拼接到SQL语句中执行，从而破坏原有查询逻辑，并执行攻击者设定的恶意操作

科汛新职教网校系统 checkPayStatus 接口存在SQL注入漏洞，未经身份验证的恶意攻击者利用 SQL注入漏洞获取数据库中的信息（例如管理员后台密码、站点用户个人信息）之外，攻击者甚至可以在高权限下向服务器写入命令，进一步获取服务器系统权限。

科汛新职教网校系统的 /Webapi/Common/checkPayStatus 接口存在命令执行漏洞。攻击者通过在 payorderid 或 apptoken 参数中注入恶意 SQL 命令（如 exec xp_cmdshell），即可在服务器上执行任意系统命令。这是由于系统未对用户输入进行充分验证，导致攻击者能完全控制受影响的服务器。

科汛网校系统专为教育培训企业提供独立品牌运营平台，支持PC+公众号(H5)+小程序+独立APP多终端学习，拥有独立运营版，机构入驻平台版等多个版本可供教育机构选择，是教育企业机构实现品牌发展的不二选择