用友U8 Cloud TaskTreeQuery存在SQL注入
一、漏洞简介
用友U8 Cloud是用友公司推出的企业上云数字化平台，为成长型和创新型企业提供全面的云ERP解决方案。然而，该平台中存在一个安全漏洞，涉及TaskTreeQuery接口对用户输入参数缺乏有效过滤，可能导致SQL注入攻击。攻击者可通过此漏洞未经授权地访问数据库，造成潜在的信息泄露风险。建议尽快修复漏洞，强化输入验证，提升系统安全性。
二、影响版本
- 用友U8 Cloud
三、资产测绘
- hunter
app.name="用友 U8 Cloud"
- 登录页面
四、漏洞复现
访问出现如下页面表示可能存在SQL注入漏洞
/service/~iufo/nc.itf.iufo.mobilereport.task.TaskTreeQuery?usercode=211
sqlmap