禪道8.2-9.2.1SQL注入前臺Getshell
- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：未知
- 漏洞類型： SQL注入
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時(shí)間：2020-12-22
- 更新時(shí)間：2021-01-14
漏洞簡介
禪道項(xiàng)目管理軟件集產(chǎn)品管理、項(xiàng)目管理、質(zhì)量管理、文檔管理、組織管理和事務(wù)管理于一體，是一款功能完備的項(xiàng)目管理軟件。該漏洞影響版本為禪道8.2-9.2.1。漏洞出現(xiàn)在系統(tǒng)orm框架中，在拼接order by的語句過程的時(shí)候，未對limit部分過濾并直接拼接，導(dǎo)致攻擊者構(gòu)造執(zhí)行SQL語句。在mysql權(quán)限配置不當(dāng)?shù)那闆r下，攻擊者可利用該漏洞獲取webshell。
漏洞公示
暫無
參考網(wǎng)站
暫無
受影響實(shí)體
禪道8.2 - 9.2.1
補(bǔ)丁
建議受影響的用戶升級至ZenTao 9.2.1以上版本或打上對應(yīng)補(bǔ)丁包，下載地址：https://www.zentao.net/download.html
