关键漏洞信息 漏洞概述 1. Unauthenticated OS Command Injection (CVE-2025-15559) - 未认证的攻击者在调用服务器API端点时可以注入OS命令。 - 攻击者能以NT Authority\\SYSTEM权限在WorkTime服务器上执行任意命令。 - 可访问或操纵敏感数据，甚至接管服务器。 2. SQL Injection (MSSQL/Firebird Backend) (CVE-2025-15560) - 身份认证权限低的攻击者可通过WorkTime服务器API注入SQL查询。 - 如果使用Firebird数据库后端，攻击者可从数据库中获取所有数据；如果使用MSSQL后端，可执行任意SQL语句在数据库后端，进而访问敏感数据。 3. Local Privilege Escalation (CVE-2025-15561) - 攻击者利用WorkTime监控守护程序的更新过程，提升本地系统权限至NT Authority\\SYSTEM。 4. Reflected Cross-Site Scripting (XSS) (CVE-2025-15562) - 服务器API端点将接收到的数据反射到HTML响应中，未进行适当的编码或过滤。 - 如果受害者打开攻击者准备的URL，可在受害者的浏览器中执行任意JavaScript。 5. Broken Access Control results in Denial of Service (CVE-2025-15563) - 未认证的攻击者可通过发送特定HTTP请求至服务器，重置WorkTime的预配置数据库，导致服务中断。 - 未执行任何授权检查。 漏洞版本 WorkersTime v118.8 供应商联络时间线 2025-07-09 至 2026-02-18。供应商未回复沟通，是否补丁存在尚不明确。 解决方案 联系供应商请求补丁。 目前无变通方法。