宏景人力资源信息管理系统 HrSoapService 存在XML实体注入漏洞

宏景HCM的Xfire webservice存在xxe漏洞，xxe可以当作ssrf使用，可以探测本地开放端口，可以读文件列目录，结合%2e%2e权限绕过以及Axis 本地AdminService可以部署恶意服务造成远程代码执行漏洞