禪道8.2-9.2.1SQL注入前臺Getshell
- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：未知
- 漏洞類型： SQL注入
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2020-12-22
- 更新時間：2021-01-14
漏洞簡介
禪道項目管理軟件集產品管理、項目管理、質量管理、文檔管理、組織管理和事務管理于一體，是一款功能完備的項目管理軟件。該漏洞影響版本為禪道8.2-9.2.1。漏洞出現(xiàn)在系統(tǒng)orm框架中，在拼接order by的語句過程的時候，未對limit部分過濾并直接拼接，導致攻擊者構造執(zhí)行SQL語句。在mysql權限配置不當?shù)那闆r下，攻擊者可利用該漏洞獲取webshell。
漏洞公示
暫無
參考網(wǎng)站
暫無
受影響實體
禪道8.2 - 9.2.1
補丁
建議受影響的用戶升級至ZenTao 9.2.1以上版本或打上對應補丁包，下載地址：https://www.zentao.net/download.html
