o2oa /x_program_center/jaxrs/mpweixin/check XML 外部实体注入漏洞

日期: 2026-01-23 | 影响软件: o2oa | POC: 否

漏洞描述

O2OA 平台 v6.1.0 至 v9.0.0 版本中，/x_program_center/jaxrs/mpweixin/check 接口存在 XML 实体注入（XXE）漏洞。由于 O2OA 使用的 Java XML 解析器对内部 DTD 实体嵌套进行了限制，攻击者可通过构造外部 DTD 的方式进行利用。攻击者无需登录即可创建并引用恶意 DTD 文件，通过参数实体嵌套触发 Java 解析器错误回显，从而实现任意文件读取。

PoC代码

暂无

相关漏洞推荐