漏洞关键信息总结 受影响产品 产品名称: Yonyou Space-Time Enterprise Information Integration KSOA Platform V9.0 版本: V9.0 厂商主页: https://www.yonyou.com/ 漏洞类型 漏洞类型: SQL injection 漏洞原因 在 文件中，应用程序通过 参数接受不受信任的输入，并将其直接拼接到后端SQL查询中，缺乏适当的验证或参数化。 影响 攻击者可以利用此SQL注入漏洞实现未经授权的数据库访问，敏感数据泄露、数据篡改，并可能获得数据库服务器的管理控制，对系统的机密性、完整性和可用性构成严重威胁。 描述及PoC 不需要登录或授权即可利用此漏洞 受影响URL: http://139.129.39.196:98/worksheet/worksadd.jsp 参数: id (HTTP GET 参数) 表现形式（PoC） 修复建议 1. 使用预编译语句：对于所有数据库访问实施参数化查询，确保数据库将用户输入视为数据，而不是可执行代码。 2. 输入验证：严格验证 参数确保它只包含预期的字符，如整数字母等。 3. WAF配置：部署Web应用程序防火墙(WAF)，以检测和阻止常见的SQL注入模式。 4. 错误处理：在前端禁用详细的数据库错误消息以防止信息泄露。