管家婆ERP V3 V4.1sp1 严重漏洞公告

qxhz

经测试，在IE6中，用Ctrl+N新开一个窗口，SA密码等一样出现在地址栏中！

lpcking

IE 6.0有这个漏洞吗？

浙江家园

4.1 应该也没有修正，标红部分分别是ID、数据库名、密码

但是你首先要能登录系统啊～～～才会有此问题出现，并存在于历史记录中

http://test/jxc/js_main.asp?UserID=0000100004&V3ZT=V3_ERP&constr=Provider%3DSQLOLEDB.1%3BPassword%3DT12345T%3F%3BPersist%20Security%20Info%3DTrue%3BUser%20ID%3DSA%3BInitial%20Testlog%3DV3_ERP%3BData%20Source%3Dtest&TimeCheckPoint=71415.32&imgMenuShow=False

建议：
不使用SA是一个办法，但只要任何一个帐号可运行V3的帐号，都可能类推致 获得最高权限 所以：
1、 尽可能在 办公、家庭环境下使用 ERP系统。
2、如果特殊情况下 在公众网络下使用后，记得一定要清理 历史记录
3、不管在任何环境下使用，保持定期 清理系统 使用痕迹

没有不破的程序，没有完美的系统，只有受众的程序，附以良好的习惯

zclyh

管家婆软件比较适合夫妻店，估计夫妻用的也不多

fyly

有什么解决不了的？用Session来传递数据库连接信息不就可以了吗？为什么非要用request呢？连最基本的登录验证的安全性问题都解决不了，任天行的神功是白练了。

zx_best

这个漏洞很致命啊，感谢楼主提醒了

cjteam

管家婆漏洞无法修复，不会吧？？那问题大了

chxg

好像用很多的浏览器都会有的。

idxmj

谢谢楼主提醒
等会看看

iwillwei

这个漏洞也太离谱了吧。任我行怎么搞的