代码审计-信呼OA nickName SQL注入漏洞（XVE-2024-19304）
💡
原文中文，约9900字，阅读约需24分钟。
📝
内容提要
信呼OA办公系统（v2.6.2及之前）存在SQL注入漏洞（CVE-2024-7327），攻击者可利用未过滤的nickName参数执行任意数据库操作。该漏洞因缺乏有效鉴权机制导致接口开放，建议及时修复以防止攻击。
🎯
关键要点
- 信呼OA办公系统（v2.6.2及之前）存在SQL注入漏洞（CVE-2024-7327）。
- 漏洞位于/webmain/task/openapi/openmodhetongAction.php文件的dataAction函数中，未对nickName参数进行有效过滤。
- 攻击者可利用该漏洞执行任意数据库操作，建议及时修复以防止攻击。
- 漏洞影响的版本范围为v2.6.2之前。
- 该漏洞由于缺乏有效的鉴权机制，导致接口对外开放。
- openapiAction文件只做了openkey校验，没有登录、token、cookie等校验。
- 攻击者可以通过构造恶意SQL语句，利用未过滤的nickName参数进行SQL注入。
- 在本地开发环境或内网环境中，攻击者可以绕过openkey检查。
- 漏洞分析显示，参数可控，直接作为数组的一部分带入查询，导致SQL注入。
- 该漏洞的存在与服务器的安全策略有关，可能影响前台注入的可行性。
❓
延伸问答
信呼OA办公系统的SQL注入漏洞是什么？
信呼OA办公系统（v2.6.2及之前）存在SQL注入漏洞（CVE-2024-7327），攻击者可利用未过滤的nickName参数执行任意数据库操作。
该漏洞的根本原因是什么？
该漏洞由于缺乏有效的鉴权机制，导致接口对外开放，未对nickName参数进行有效过滤。
如何修复信呼OA的SQL注入漏洞？
建议及时修复漏洞，增加对nickName参数的有效过滤和完善鉴权机制。
攻击者如何利用这个SQL注入漏洞？
攻击者可以通过构造恶意SQL语句，利用未过滤的nickName参数进行SQL注入，从而执行任意数据库操作。
漏洞影响的版本范围是什么？
该漏洞影响的版本范围为信呼OA办公系统v2.6.2及之前的版本。
该漏洞的存在与服务器的安全策略有什么关系？
该漏洞的存在与服务器的安全策略有关，可能影响前台注入的可行性，特别是在本地开发环境或内网环境中。
🏷️
标签
➡️
