0x01 产品简介
CRMEB开源电商系统是一款由西安众邦网络科技有限公司打造的全栈式电商解决方案，旨在为开发者和商家提供高性能、智能化的电商平台服务。该系统集成了CRM（客户关系管理）、ERP（企业资源规划）和EB（电子商务）的功能，通过深度结合这些功能，帮助用户快速构建稳定且功能丰富的在线商城。是一款全开源可商用的系统，前后端分离开发，全部100%开源，在小程序、公众号、H5、APP、PC端都能用，使用方便，二开方便！安装使用也很简单！使用文档、接口文档、数据字典、二开文档、视频教程，各种资料应有尽有，就算你是技术小白，也能轻松上手！
0x02 漏洞概述
2024年6月，CRMEB开源电商系统发布了新补丁，修复了一处 SQL注入漏洞（CVE-2024-36837）。经分析，该漏洞可以通过请求api的路径接口来进行SQL注入，进而可能导致敏感信息泄露，该注入可暴露后台web绝对路径，深入利用可获取服务器权限，该漏洞无前置条件且利用简单，建议受影响的用户尽快修复漏洞。
漏洞成因
该漏洞源于系统未使用有效的安全措施处理用户输入，并将用户的输入直接拼接进SQL语句中执行。这一过程导致了SQL注入漏洞的产生。
漏洞影响
该漏洞可利用SQL注入，获取后台数据库权限，获取绝对路径写入后门文件，进而接管服务器权限。互联网资产受影响资产占比
)
