CVE-2019-25776: falha de alta gravidade em Weaver Network Co., Ltd. E-cology
Weaver E-cology SQL Injection via SyncUserInfo.jsp
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
63Vexday Risk Score
Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.
ssvc Actcvss 8.7epss 0.6%
da publicação à arma
Publicada no NVD18 de set.
VulnCheck28 de jul.
Weaver E-cology contains an unauthenticated SQL injection vulnerability that allows remote attackers to execute arbitrary SQL queries by submitting malicious input through the userIdentifiers GET parameter in the mobile plugin endpoint. Attackers can bypass space-based filter controls by wrapping SQL keywords in parentheses to perform UNION-based injection and extract sensitive data including administrator credential hashes from the database. Exploitation evidence was first observed by the Shadowserver Foundation on 2022-07-28.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Weaver Network Co., Ltd. · E-cologyPoCs públicas encontradas — 2
cve_referencecn-sec.com/archives/135359.htmlnão verificadocve_referencegithub.com/chaitin/xray/blob/master/pocs/ecology-syncuserinfo-sqli.ymlnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Weaver Network Co., Ltd. E-cology
No mesmo produto, das mais perigosas para as menos.
CVE-2026-22679CRITICALWeaver E-cology 10.0 Unauthenticated RCE via dubboApi Debug EndpointEPSS 20.7%CVE-2021-48013HIGHWeaver E-cology 8.0 Unauthenticated Path Traversal via ln.FileDownloadEPSS 0.7%CVE-2022-50992HIGHWeaver E-cology 9.5 Unauthenticated Arbitrary File Read via XmlRpcServletEPSS 0.7%CVE-2025-71434HIGHWeaver E-cology < 10.76 Unauthenticated SQL Injection via doc/out/more/listEPSS 0.3%