CVE-2025-71434
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Weaver E-cology w wersjach 8.0, 9.0 i 10.0 przed 10.76 zawiera podatność na wstrzyknięcie SQL bez uwierzytelnienia w endpoincie /api/doc/out/more/list poprzez parametr elementmore z srcType=2. Atakujący mogą wstrzykiwać SQL przez pola doc_datefrom/doc_dateto i odczytywać wyniki przez /api/ec/dev/table/counts w celu wyciągnięcia informacji z bazy danych.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na odczyt danych z bazy, co może prowadzić do wycieku informacji biznesowych i danych osobowych. Systemy wystawione do internetu są szczególnie narażone.
Rekomendacja
Zaktualizuj Weaver E-cology do wersji 10.76 lub nowszej i ogranicz dostęp do endpointów API z sieci zewnętrznej. Sprawdź logi pod kątem podejrzanych żądań do /api/doc/out/more/list.
Inne podatności w Weaver E-cology
Zobacz wszystkie- CVE-2022-4995Krytyczne
Weaver (Fanwei) E-cology 9.0 w wersjach przed 10.52 zawiera podatność na przesyłanie plików, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przesłanie dowolnych plików, w tym webshelli JSP, poprzez wysłanie żądania POST do /workrelate/plan/util/uploaderOperate.jsp. Udane wykorzystanie prowadzi do zdalnego wykonania kodu.
- CVE-2023-51892Krytyczne
W systemie weaver e-cology w wersji 10.0.2310.01 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany skrypt wysłany do komponentu FrameworkShellController.
- CVE-2021-48013Wysokie
Weaver E-cology 8.0 zawiera podatność path traversal, która pozwala nieuwierzytelnionym atakującym odczytać dowolne pliki poprzez parametr fpath endpointu /weaver/ln.FileDownload. Atakujący mogą wysyłać spreparowane żądania GET z sekwencjami przejścia katalogów w fpath, aby pobrać wrażliwe pliki, takie jak WEB-INF/web.xml z serwera.
- CVE-2019-25776Wysokie
Weaver E-cology zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym wykonywać dowolne zapytania SQL poprzez parametr userIdentifiers w punkcie końcowym pluginu mobilnego. Atakujący mogą ominąć filtry oparte na spacjach, zawijając słowa kluczowe SQL w nawiasy, aby przeprowadzić atak typu UNION i wyodrębnić wrażliwe dane, w tym hasze haseł administratorów.
- CVE-2022-50997Wysokie
Weaver (Fanwei) E-cology 8.0 i 9.0 zawiera podatność na wstrzykiwanie SQL w punkcie końcowym HrmCareerApplyPerView.jsp, która pozwala nieuwierzytelnionym zdalnym atakującym na wyodrębnienie dowolnych danych z bazy danych poprzez manipulację parametrem id. Atakujący może wysłać pojedyncze spreparowane żądanie GET z ładunkiem UNION, aby pobrać dowolne dane z bazy Microsoft SQL Server. Podatność jest prawdopodobnie naprawiona w wersji 10.53 lub 10.54. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
- CVE-2016-20097Wysokie
Weaver (Fanwei) E-cology 8.0 zawiera podatność na wstrzykiwanie SQL w serwlecie SignatureDownLoad, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt dowolnych plików poprzez wstrzyknięcie ładunku UNION SELECT do parametru markId. Atakujący może kontrolować ścieżkę pliku, co pozwala na odczyt wrażliwych plików, w tym plików konfiguracyjnych z danymi uwierzytelniającymi do bazy danych. Podatność została naprawiona, ale nie jest jasne, która wersja ją usunęła. Pierwsze dowody wykorzystania zaobserwowano 2023-10-18.
Oryginalny opis (angielski, źródło NVD)
Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection vulnerability in the /api/doc/out/more/list endpoint via the elementmore parameter with srcType=2. Attackers can inject SQL through doc_datefrom/doc_dateto fields and read results via /api/ec/dev/table/counts to extract database information. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-07-19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS