泛微 e-cology SQL注入及未授权访问漏洞

泛微官方发布一级安全通知，披露 e-cology 存在 SQL 注入漏洞及未授权访问漏洞。攻击者可利用未授权访问绕过认证进入系统，并通过 SQL 注入读取或篡改数据库数据。官方已发布对应安全补丁，建议受影响用户尽快升级。

影响范围

泛微 e-cology

影响泛微 e-cology 8.0-9.0 版本及对应的安全补丁版本，具体受影响补丁号暂无公开信息。

漏洞详情

未授权访问漏洞指系统部分接口或页面未做有效身份校验，攻击者无需登录即可访问敏感功能或数据。SQL 注入漏洞源于程序未对用户输入进行充分过滤，攻击者构造恶意 SQL 语句交由数据库执行，从而窃取、篡改数据甚至进一步控制服务器。两者结合可放大危害，先绕过认证再实施注入。

利用条件与风险

利用前提为系统暴露在可访问网络且未安装官方补丁，未授权访问通常无需认证即可触发，实战中易被批量扫描利用，风险较高。

修复建议

建议尽快升级至官方发布的安全补丁版本，参考泛微官方安全通知；临时缓解可限制系统外网访问、部署 WAF 拦截异常 SQL 请求并加强访问控制。

泛微官方发布一级安全通知，披露 e-cology 存在 SQL 注入漏洞及未授权访问漏洞，影响 ecology 8.0-9.0 及对应安全补丁版本。