CVE-2026-33755 GroupOffice SQL 注入漏洞，已修复

CVE-2026-33755 影响企业客户关系管理 (CRM) 和协作工具 Group-Office。该漏洞是 JMAP Contact/query 端点处的经过身份验证的 SQL 注入，允许具有基本地址簿访问权限的经过身份验证用户从数据库中提取任意数据。这包括其他用户的有效会话令牌，从而可以在不知道其密码的情况下完全接管任何用户帐户，包括系统管理员帐户。此漏洞的严重程度很高 (CVSS 8.8)，因为存在未经授权访问敏感信息和完全控制用户帐户的风险。为了减轻此风险，必须升级到 6.8.158 或更高版本。成功利用可能导致机密数据泄露、关键信息篡改以及业务运营中断。

Organizations utilizing GroupOffice for customer relationship management and groupware, particularly those with multiple users and System Administrator accounts, are at significant risk. Shared hosting environments where multiple GroupOffice instances share the same database are especially vulnerable, as a compromise in one instance could potentially expose data from others.

• linux / server:

journalctl -u groupoffice | grep -i "SQL injection"

• php: Review GroupOffice application logs for SQL error messages or unusual database queries originating from the Contact/query endpoint. • generic web: Use curl to test the Contact/query endpoint with crafted SQL injection payloads. Monitor response headers for errors or unexpected data.

1. 2026-03-27Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-27
3. EPSS 更新日期2026-04-04

CVE-2026-33755 的解决方案是将 Group-Office 升级到 6.8.158 或更高版本。这些版本包含针对 SQL 注入漏洞的修复程序。我们强烈建议立即应用此更新以保护您的系统免受潜在攻击。此外，请审查您组织的安全性策略，包括密码管理和用户身份验证，以确保它们符合安全最佳实践。监控 Group-Office 日志以查找可疑活动，并考虑实施入侵检测系统 (IDS)，以便实时识别和响应潜在攻击。升级是消除漏洞的最有效措施。