E-cologyに認証不要のSQLインジェクション、悪用を確認
Summary
E-cology 8.0、9.0、10.0（10.76より前）の一部のAPIに、認証なしでSQLを注入される脆弱性が見つかりました。データベースの情報が漏えいするおそれがあり、Shadowserver Foundationが2026年7月19日に悪用を初めて確認しています。修正版の10.76が公開されているため、速やかに更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
E-cology 8.0、9.0、10.0（10.76より前）の一部のAPIに、認証なしでSQLを注入される脆弱性が見つかりました。データベースの情報が漏えいするおそれがあり、Shadowserver Foundationが2026年7月19日に悪用を初めて確認しています。修正版の10.76が公開されているため、速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Weaver Network Co., Ltd. | E-cology |
< 10.76 |
10.76 |
Original description The description as published by the source.
Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection vulnerability in the /api/doc/out/more/list endpoint via the elementmore parameter with srcType=2. Attackers can inject SQL through doc_datefrom/doc_dateto fields and read results via /api/ec/dev/table/counts to extract database information. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-07-19.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com
- web blog.csdn.net
- web weaver.com.cn
- web vulncheck.com
- web nvd.nist.gov
- web 1diot9.github.io
- web y4tacker.github.io
- web github.com