用友NC yerfiledown SQL注入漏洞复现(XVE-2024-34596)

0x01 产品描述：

‌         用友NC‌是用友集团开发的一款面向大型企业和集团企业的管理软件，旨在提供全方位的管理服务，涵盖财务、人力资源、供应链、生产制造等多个领域。用友NC采用先进的云计算技术和移动应用技术，构建大企业私有云，满足集团企业的管理、全产业链管控和电子商务运营需求‌。
0x02 漏洞描述：

        用友NC portal/pt/yerfile/down 接口存在SQL注入漏洞，攻击者通过利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。