漏洞描述
蓝凌EIS智慧协同平台的 /mail/mail_server.aspx/mail_XML 接口存在XML外部实体注入（XXE）漏洞。该接口在处理XML格式请求时，未对XML内容进行严格的安全校验，允许攻击者注入包含外部实体引用的恶意XML代码。攻击者可构造包含DNSlog地址的恶意XML payload，诱导服务器解析并访问指定DNSlog服务器，通过DNSlog记录验证漏洞存在。该漏洞可能导致服务器本地敏感文件读取、内部网络探测、敏感信息泄露等严重安全风险。
蓝凌EIS智慧协同平台 /mail/mail_server.aspx/mail_xml XML 外部实体注入漏洞
PoC代码
暂无相关漏洞推荐
- 蓝凌EIS validate 存在SQL注入漏洞
- 蓝凌EIS智慧协同平台 /Mobile/mobile_send.aspx SQL 注入漏洞
- POC landray-eis-saveimg-fileupload: 蓝凌EIS智慧协同平台任意文件上传
- POC landray-zhihuixietong-dingusers-sqli: 蓝凌EIS智慧协同平台DingUsers.aspx接口存在SQL注入漏洞
- 蓝凌EIS智慧协同平台 /SM/DingUsers.aspx SQL 注入漏洞
- 蓝凌EIS智慧协同平台 DingUsers.aspx SQL注入漏洞
- 蓝凌 EIS 智慧协同平台 /third/WeChart/Pages/UniformEntry.aspx SQL 注入漏洞
- 蓝凌EIS Case.aspx存在SQL注入漏洞
- 蓝凌EIS sFormRender.aspx存在SQL注入漏洞
- 蓝凌EIS DingUsers SQL注入漏洞
- 蓝凌EIS智慧协同平台 /Message/fi_message_receiver.aspx SQL 注入漏洞
- 蓝凌EIS fi_message_receiver.aspx SQL注入漏洞
- 蓝凌EIS智慧协同平台 /SM/rpt_listreport_definefield.aspx SQL 注入漏洞