一、漏洞概述
近日，绿盟科技CERT监测到用友畅捷通T+存在SQL注入漏洞和反序列化漏洞。目前漏洞的PoC已公开，请受影响的用户尽快采取措施进行防护。
用友畅捷通T+SQL注入漏洞，未经身份认证的远程攻击者可在易受攻击系统上执行任意SQL语句，某些情况下攻击者利用该漏洞可在底层操作系统上执行shell命令。
用友畅捷通T+反序列化漏洞，未经身份认证的远程攻击者可构造特定请求上传恶意文件到目标系统，从而在服务器上执行任意代码。
用友畅捷通T+是一款基于互联网的新型企业管理软件，功能模块包括：财务管理、采购管理、库存管理等。主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。
二、影响范围
受影响版本
畅捷通T+ 13.0
畅捷通T+ 16.0
三、漏洞防护
3.1 官方升级
目前官方已发布补丁修复了该漏洞，请受影响的用户尽快安装更新进行防护，官方下载链接：
3.2 防护建议
1、若相关用户暂时无法进行补丁更新，建议对相关系统进行访问限制，或联系畅捷通官方进行安全加固支持。
2、基于常态的安全运营机制，提高开展暴露面稽查频率，持续监测边界与内网的攻击和异常行为，及时发现潜在的勒索风险；
3、接入安全厂商威胁情报体系，同步最新的事件与可利用漏洞情报并及时处置闭环，避免新漏洞长期滞留成为勒索入口；
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。