时空智友ERP /formservice richclient.initRCForm XML 外部实体注入漏洞（CVE-2026-1218）

日期: 2026-01-23 | 影响软件: 时空智友ERP | POC: 否

漏洞描述

Bjskzy 智友 ERP 11.0 及之前版本中，组件 com.artery.richclient.RichClientService 的 RichClientService.class 文件内 initRCForm 函数存在 XML 外部实体注入（XXE）漏洞。由于在处理 XML 数据时未正确禁用外部实体解析，攻击者可通过构造恶意 XML 请求远程触发外部实体引用，从而造成敏感信息泄露。该漏洞可被远程利用，且相关利用代码已公开。厂商已被提前告知该问题，但截至目前未作出任何响应。

PoC代码

暂无

相关漏洞推荐