关于用友A++V8系列产品gl/XXX/getCancelData接口SQL注入漏洞及/pub/XXX/burnAfterReading任意文件读取漏洞的安全公告

漏洞概述

一、 漏洞描述

用友政务公司获知财务云V8系/gl/XXX/getCancelData接口存在sql注入漏洞及/pub/XXX/burnAfterReading任意文件读取漏洞，攻击者通过弱口令获取合法用户的cookie信息，然后构造恶意请求，导致敏感数据泄漏。团队第一时间组织人员进行响应,对此次系统存在的漏洞进行分析及处理，并发布相关解决补丁，对相关支持人员进行培训;现针对上述漏洞进行完善修复。各版本需根据对应的补丁更新最新的安全漏洞补丁解决上述漏洞。

二、影响版本

用友政务财务云V8产品官方在售及提供服务器的版本，受本次通报漏洞的影响。为了尽快落实用户现场和产品升级，修复漏洞，避免造成损失，本次提供修复补丁，请广大服务厂商，尽快参照执行。

三、修复方案

已对输入进行过滤和验证并对参数进行预编译等措施，用以修复此SQL注入漏洞。请根据使用的产品版本更新对应版本的安全漏洞补丁即可，打补丁方法同更新CWY补丁方法。

更新记录