关于NC、NC Cloud、YonBIP高级版存在sql注入以及XML实体注入漏洞的修复通告

漏洞概述

一、 漏洞描述

NC、NC Cloud、YonBIP高级版存在可利用phoneFindPwd接口实现sql注入漏洞攻击，利用importTemplate 接口参数XML实体注入漏洞，从而窃取服务器敏感信息。

二、影响版本

NC65/NC Cloud2111/YonBIP高级版2207/YonBIP高级版2305/YonBIP高级版2312

三、修复方案

各版本补丁获取方式如下：

1. NC65

补丁名称：patch_portal65_xml导入校验防止外部实体解析

补丁编码：NCM_NC6.5_000_109902_20250314_GP_961690472

 校验码： a5455d79181b1d5701c1aa0444f8ea3098fb1fccb4aeaa3d913384fd1b7d87c5

2.NC Cloud2111

补丁名称：patch_2111phoneFindPwd接口SQL注入漏洞

补丁编码：NCM_NCCLOUD2021.11_010_0013_20250314_GP_962402979

 校验码： 3927b9d204b73ca9b859228f4b2aadde4de9206bdb0484c68d49e0fe13e05faf

3.YonBIP高级版2207

补丁名称：patch_2207phoneFindPwd接口SQL注入漏洞

补丁编码：NCM_YONBIP高级版2207_010_0013_20250314_GP_962651072

 校验码： 306f6f07f940e39bdae940ba179b47c59f389c1c4dba495532f25fd297a30a9b

4.YonBIP高级版2305

补丁名称：patch_2207SP1(2305)phoneFindPwd接口SQL注入漏洞

补丁编码：NCM_YONBIP高级版2305(2207SP)_010_0013_20250314_GP_962706365

 校验码：ac349756c9445a4d73948204a7192de6a1b55b282f10a202276c40e8ec3f260d

5.YonBIP高级版2312

补丁名称：patch_2312phoneFindPwd接口SQL注入漏洞

补丁编码：NCM_YONBIP高级版2312_010_0013_20250314_GP_962764265

校验码：8b23918ebfea046b7ded66dfa060d4026c1b85acb9e557cbc13521b6b9977f76

更新记录