普华PowerPMS系统越权数据泄露漏洞

GetDataJson 数据集查询接口无需身份认证即可直接访问，datasetCode参数用于指定后台查询数据集。攻击者直接构造请求，无需登录系统，接口返回系统全部用户数据集，响应中包含登录账号、姓名、用户唯一ID、密码哈希、管理员标记、登录时间、账号状态等大量敏感信息。