OpenSIS SQL注入漏洞PoC公开

有人在Sploitus公开了OpenSIS Community Edition认证后SQL注入漏洞CVE-2024-35584的利用代码。该漏洞影响9.1至8.0版本，可能还包括更低版本，涉及Ajax.php、Modules.php、ForExport.php、ForWindow.php和functions/HackingLogFnc.php。 公开的PoC称，当请求携带“X-Forwarded-For”头时，应用会采用该值而非$_SERVER['REMOTE_ADDR']；该IP值被直接拼入SQL语句且未做过滤，因此可注入。PoC注入' AND SLEEP(7) AND '1'='1后，应用延迟7秒，据此称注入成功。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。