CRMEB 漏洞列表

fofa: body="/wap/first/zsff/iconfont/iconfont.css" || body="CRMEB" 该漏洞可以通过请求api的路径接口来进行SQL注入，进而可能导致敏感信息泄露，该注入可暴露后台web绝对路径，深入利用可获取服务器权限，该漏洞无前置条件且利用简单.

SQL Injection vulnerability in CRMEB v.5.2.2 allows a remote attacker to obtain sensitive information via the getProductList function in the ProductController.php file.

CRMEB 是一款基于ThinkPHP框架开发的开源电商系统，主要面向中小企业提供社交电商与新零售解决方案，支持多商户运营、微信生态（公众号/小程序）深度集成、分销体系及数据统计分析，凭借模块化设计及低成本部署特性在中国市场广泛应用，但其开源特性也伴随潜在安全风险， 攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。

CRMEB开源商城系统是一款全开源可商用的系统，前后端分离开发。CRMEB开源商城系统 存在任意文件下载漏洞，未授权的攻击者可获取数据库敏感信息。

CRMEB电商系统是一款由西安众邦网络科技有限公司打造的全栈式电商解决方案，旨在为开发者和商家提供高性能、智能化的电商平台服务。该系统集成了CRM（客户关系管理）、ERP（企业资源规划）和EB（电子商务）的功能，通过深度结合这些功能，帮助用户快速构建稳定且功能丰富的在线商城。是一款全开源可商用的系统，前后端分离开发，全部100%开源，在小程序、公众号、H5、APP、PC端都能用，使用方便，二开方便！安装使用也很简单！使用文档、接口文档、数据字典、二开文档、视频教程，各种资料应有尽有，就算你是技术小白，也能轻松上手！CRMEB电商系统 /api/products 存在SQL注入漏洞，攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

CRMEB开源商城系统是一款全开源可商用的系统，前后端分离开发，全部100%开源，在小程序、公众号、H5、APP、PC端都能用，使用方便，二开方便！安装使用也很简单！使用文档、接口文档、数据字典、二开文档、视频教程，各种资料应有尽有，就算你是技术小白，也能轻松上手！CRMEB开源商城系统/api/products 存在SQL注入漏洞，未授权的攻击者可获取数据库敏感信息。

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

众邦科技CRMEB存在任意文件写入漏洞漏洞，此漏洞是由于程序对输入/adminapi/system/crud接口的数据缺乏验证导致的。

众邦科技CRMEB中存在任意文件读取漏洞，此漏洞是由于程序未充分验证用户输入/adminapi/system/file/openfile接口的数据所导致的。

CRMEB开源商城系统/api/admin/payment/callback/wechat前台存在XXE漏洞。

CRMEB开源商城系统/api/public/wechat/message/webHook前台存在XXE漏洞。

CRMEB是西安众邦网络科技有限公司打造的一套客户管理加电商营销系统，基于ThinkPhp6.0+Vue采用前后端分离模式开发，前后台都具有非常标准的API接口，是一款非常优秀的开源微信端及小程序商城框架。CRMEB知识付费存在未授权访问漏洞，导致攻击者可以通过该漏洞直接获取数据库文件。

CRMEB开源商城系统是一款全开源可商用的系统。该系统存在前台XXE漏洞

CRMEB打通版v4是免费开源商城系统，UINAPP+thinkphp6框架商城.CRMEB打通版/api/home/products路径下的ids参数存在未经过滤的SQL语句拼接导致SQL注入。

CRMEB打通版v4是免费开源商城系统，UINAPP+thinkphp6框架商城.CRMEB打通版/api/products路径下的sid参数存在未经过滤的SQL语句拼接导致SQL注入。

CRMEB products SQL注入漏洞，攻击者可获取系统密码等敏感信息。

Zhongbang CRMEB是中国西安众邦网络（Zhongbang）公司的一套开源的电商管理系统。 Zhongbang CRMEB 4.6.0之前版本存在代码问题漏洞。攻击者利用该漏洞执行服务器端请求伪造攻击。

Zhongbang CRMEB是中国西安众邦网络（Zhongbang）公司的一套开源的电商管理系统。 Zhongbang CRMEB 4.6.0之前版本存在代码问题漏洞。攻击者利用该漏洞导致数据反序列化。