🚨 **高危SQL注入漏洞：** 泛微E-cology 9版本存在严重的前台SQL注入漏洞，攻击者无需认证即可利用，窃取敏感数据库信息，可能导致信息泄露或权限提升。

🌐 **潜在的服务器完全控制：** 该SQL注入漏洞若与后台远程代码执行漏洞结合，攻击者将有可能完全控制受影响的服务器，带来极大的安全风险。

🛠️ **官方已发布补丁：** 泛微官方已针对此漏洞发布了v10.76安全补丁，建议所有使用E-cology 9且未更新的用户尽快联系厂商获取并安装此补丁以修复漏洞。

🔍 **赛博昆仑的技术支持：** 赛博昆仑CERT已成功复现此漏洞，并表示可提供轻量级的检测规则或热补丁服务，协助用户进行漏洞检测和修复工作。

2025-07-09 10:01 广东

漏洞描述

    泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，形成了一系列的通用解决方案和行业解决方案。    

    赛博昆仑CERT监测到泛微E-cology9 存在SQL注入漏洞，未经过身份认证的攻击者可以利用该漏洞获取到数据库的敏感信息，可能造成信息泄露或权限提升，结合后台远程代码执行漏洞可以完全控制服务器。泛微已经发布新补丁v10.76修复了该前台sql注入漏洞。

影响范围

e-cology9 并且 补丁版本 < 10.76

漏洞复现

目前，赛博昆仑CERT已成功复现泛微Ecology前台sql注入执行漏洞，延时8秒。

防护措施

修复建议

目前，官方已发布安全补丁，建议受影响的用户尽快联系厂商获取安全补丁。

技术业务咨询

赛博昆仑支持对用户提供轻量级的检测规则或热补方式，可提供定制化服务适配多种产品及规则，帮助用户进行漏洞检测和修复。

赛博昆仑CERT已开启年订阅服务，付费客户(可申请试用)将获取更多技术详情，并支持适配客户的需求。

联系邮箱：cert@cyberkl.com

公众号：赛博昆仑CERT

时间线

    2025年7月，官方发布补丁v10.76修复漏洞

    2025年7月9日，赛博昆仑CERT发布漏洞风险通告

阅读原文

跳转微信打开