漏洞描述
72crm v9 在受影响的版本中，查看任务日历功能的stop_time参数和start_time参数没有转义，这可能允许高权限用户执行SQL注入攻击。
影响版本
72crm v9
漏洞分析
applicationworkcontrollerTask.php line 506
$param 参数被传递给 getDateList
start_time参数和stop_time参数直接拼接成$whereDate，然后在493行执行。导致sql注入漏洞
漏洞复现
先进入后台
如图点击，进入查看任务日历并抓包
有效载荷：
成功休眠 2 秒
如果开启debug模式
成功获取数据库名和版本号
