文章总结： 泛微e-cology协同管理平台存在前台SQL注入漏洞，攻击者可利用该漏洞获取服务器敏感信息，甚至可能导致代码执行和服务器沦陷。漏洞成因是系统在构建SQL语句时直接拼接用户可控参数且未充分过滤。影响版本为补丁版本v10.79之前的泛微e-cology系统。官方已发布安全补丁，建议受影响用户尽快升级修复，或采取临时措施限制访问来源地址。
综合评分： 85
文章分类： 漏洞分析,WEB安全,漏洞预警
【已复现】泛微e-cology 前台SQL注入漏洞
长亭安全应急响应中心
2025年10月30日 15:35
北京
泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。
2025年10月，长亭安全应急响应中心监测到泛微e-cology修复了多处SQL注入漏洞。经分析，攻击者可利用此漏洞获取服务器敏感信息，如结合其他后台漏洞可能导致代码执行，最终造成服务器沦陷，建议受影响的用户尽快修复漏洞。
漏洞描述
Description
01
漏洞成因
E-cology系统在构建SQL语句时直接拼接用户可控参数，且未对输入进行充分过滤，这导致了SQL注入漏洞。当系统处理用户提交的恶意参数时，攻击者可利用该漏洞向数据库中注入任意SQL命令。
漏洞影响
攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限。
处置优先级：高
漏洞类型：SQL注入
漏洞危害等级：高
触发方式：网络远程
权限认证要求：无需权限
系统配置要求：默认配置
用户交互要求：无需用户交互
利用成熟度：POC/EXP 未公开
修复复杂度：低，官方提供补丁修复方案
影响版本
Affects
02
泛微e-cology 补丁版本 < v10.79
解决方案
Solution
03
#
临时缓解方案 限制访问来源地址，如非必要，不要将系统开放在互联网上
**升级修复方案 官方已发布安全补丁，下载地址： https://www.weaver.com.cn/cs/securityDownload.html?src=cn *漏洞复现* Reproduction 04 长亭应急响应实验室安全研究员已成功复现泛微e-cology 前台SQL注入漏洞，验证截图如下： 
产品支持 Support 05 云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC检测 洞鉴：预计2025年10月30日支持原理自定义PoC检测 雷池：默认支持检测 全悉：默认支持检测 无锋：预计2025年10月30日支持PoC检测**
时间线
Timeline
06
2025年10月29日 长亭安全应急响应中心收到漏洞情报
2025年10月29日 长亭应急响应实验室完成漏洞分析与复现
2025年10月30日 长亭安全应急响应中心发布通告
长亭应急响应服务
全力进行产品升级
及时将风险提示预案发送给客户
检测业务是否受到此次漏洞影响
请联系长亭应急服务团队
7*24小时，守护您的安全
第一时间找到我们：
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：长亭安全应急响应中心 《【已复现】泛微e-cology 前台SQL注入漏洞》