Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
E-cology 8.0、9.0、10.0（10.76より前）の一部のAPIに、認証なしでSQLを注入される脆弱性が見つかりました。データベースの情報が漏えいするおそれがあり、Shadowserver Foundationが2026年7月19日に悪用を初めて確認しています。修正版の10.76が公開されているため、速やかに更新してください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| Weaver Network Co., Ltd. | E-cology |
< 10.76 |
10.76 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection vulnerability in the /api/doc/out/more/list endpoint via the elementmore parameter with srcType=2. Attackers can inject SQL through doc_datefrom/doc_dateto fields and read results via /api/ec/dev/table/counts to extract database information. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-07-19.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com
- web blog.csdn.net
- web weaver.com.cn
- web vulncheck.com
- web nvd.nist.gov
- web 1diot9.github.io
- web y4tacker.github.io
- web github.com