关于用友GRP-U8Cloud产品(yrule/xxx)接口存在命令执行漏洞的安全通告

发布时间

2026-06-25

一、漏洞描述

GRP-U8Cloud产品下yrule下xxx接口存在命令执行漏洞，攻击者通过伪造的拼接入参，可以获得一定范围内的服务器权限，存在安全风险。更新本通告安全补丁后，通过增加权限校验，仅允许合法用户访问相关接口功能，并且对接口进行包含特殊字符的过滤，仅允许程序功能需要的合法功能通过。以此解决此漏洞的安全风险。

二、影响版本

用友GRP-U8Cloud行政G（XZG)、教育G(JYG)、乡财G(XCG)、信创普及版（XZC)都受到此漏洞的影响。

三、解决方案

更新本通过的安全补丁，需要先更新GRP-U8CLoud产品至少等于或者大于2026年4月30号的标准补丁。然后再单独将此通告的附件中的包更新到服务目录。

更新产品大于等于2026年6月30号的发版补丁，可不再单独更新此通告的附件中的补丁包到服务目录。

补丁包列表

操作说明

详见补丁包中说明文档