关键漏洞信息 漏洞标题 Yonyou Space-Time Enterprise Information Integration KSOA Platform /kmf/edit_folder.jsp SQL injection 影响产品 Yonyou Space-Time Enterprise Information Integration Platform KSOA v9.0 漏洞文件 /kmf/edit_folder.jsp 漏洞类型 SQL injection 根因 此漏洞存在于 文件中，应用通过 参数接受不受信任的输入，并直接将其拼接到后端SQL查询中，没有适当的验证或参数化。这会影响使用MS SQL Server的环境。 影响 攻击者可以利用此SQL注入漏洞实现未经授权的数据库访问，敏感数据泄露，数据篡改，并可能获得数据库服务器的管理控制权，这对系统的机密性、完整性和可用性构成了严重威胁。 漏洞细节与PoC 易受攻击的URL: http://139.129.39.196:98/kmf/edit_folder.jsp 易受攻击的参数: folderid 方法: GET 复现命令 建议修复 1. 使用预编译语句: 实现参数化查询（预编译语句）进行所有数据库访问。 2. 输入验证: 严格验证 参数，确保它只包含预期字符（例如，仅整数）。 3. WAF配置: 部署Web应用程序防火墙（WAF）来检测和阻止常见的SQL注入模式。 4. 错误处理: 禁用前端的详细数据库错误消息，防止信息泄露。