九思OA 漏洞列表

九思软件为中国高端OA系统知名品牌，九思OA软件user_list_3g.jsp存在SQL注入漏洞 Fofa: app="九思软件-OA"

九思OA系统是一款广泛应用于政务、金融等关键业务场景的办公自动化系统。该漏洞存在于九思OA系统的AppService.AppServiceHttpSoap12Endpoint接口中，攻击者可以通过构造恶意的XML数据触发XML外部实体注入（XXE）漏洞，可能导致敏感数据泄露、服务器端请求伪造（SSRF）等安全问题。

九思OA 存在文件上传覆盖漏洞，攻击者可利用此漏洞上传文件接管服务器权限。

九思OA 存在SQL注入漏洞，攻击者可利用此漏洞获取数据库敏感信息。

XXE漏洞，即XML外部实体注入漏洞，是由于应用程序处理XML输入时，未正确配置或过滤外部实体引用导致的安全漏洞。攻击者可以通过构造恶意XML数据，导致服务器端信息泄露、拒绝服务攻击、远程代码执行等严重后果。

九思OA产品，由北京九思协同软件有限公司（简称九思软件）开发，是一款面向企事业单位和政府机关的高端协同办公系统。致力于“打造管理神器，释放组织潜能”，为客户的信息化、数字化和智能化转型提供优质的方案、产品和服务。它融合了多种管理思想和OA接口技术，旨在帮助企业打破管理边界、整合信息孤岛，形成有序、实时、规范、开放、高效率、低成本、柔性、有凝聚力的管理环境和一体化的技术支撑环境。北京九思协同办公软件dl.jsp接口处存在任意文件读取漏洞，攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

XXE漏洞，即XML外部实体注入漏洞，是由于应用程序处理XML输入时，未正确配置或过滤外部实体引用导致的安全漏洞。攻击者可以通过构造恶意XML数据，导致服务器端信息泄露、拒绝服务攻击、远程代码执行等严重后果。

XXE漏洞，即XML外部实体注入漏洞，是由于应用程序处理XML输入时，未正确配置或过滤外部实体引用导致的安全漏洞。攻击者可以通过构造恶意XML数据，导致服务器端信息泄露、拒绝服务攻击、远程代码执行等严重后果。

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

文件读取漏洞是指攻击者通过某种方式获取对系统文件的读取权限，从而访问敏感信息，如配置文件、源代码、用户数据等。这种漏洞通常是由于应用程序未正确实施权限控制或者未对用户输入进行充分过滤和验证导致的。

XXE漏洞，即XML外部实体注入漏洞，是由于应用程序处理XML输入时，未正确配置或过滤外部实体引用导致的安全漏洞。攻击者可以通过构造恶意XML数据，导致服务器端信息泄露、拒绝服务攻击、远程代码执行等严重后果。

文件读取漏洞是指攻击者通过某种方式获取对系统文件的读取权限，从而访问敏感信息，如配置文件、源代码、用户数据等。这种漏洞通常是由于应用程序未正确实施权限控制或者未对用户输入进行充分过滤和验证导致的。

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。

九思OA 存在SQL注入漏洞，攻击者可利用此漏洞获取服务器敏感数据，进一步利用可能导致代码执行

九思OA系统是安装、实施、学习、操作、维护的OA系统，由北京九思协同软件有限公司开发。九思OA存在XXE注入漏洞，攻击者可利用该漏洞获取服务器敏感信息。

九思OA存在任意文件读取漏洞，此漏洞是由于wap.do接口对请求中参数的值验证不当造成的。

九思OA系统是安装、实施、学习、操作、维护的OA系统。北京九思协同办公软件存在未授权SQL注入漏洞漏洞，可能造成数据泄露的危害。可进行文件写入，获取服务器权限

九思OA系统是安装、实施、学习、操作、维护的OA系统。北京九思协同办公软件存在未授权SQL注入漏洞漏洞，可能造成数据泄露的危害

九思OA系统是安装、实施、学习、操作、维护的OA系统。北京九思协同办公软件存在未授权XXE漏洞，可能造成远程命令执行的危害

九思OA是一款由九思软件开发的办公自动化系统，它基于JAVA语言和J2EE标准，支持多种数据库、中间件、操作系统和浏览器，具有先进性、易用性、易维护性、开放性、扩展性、集成性、安全性、高性能和功能性等特点。九思 OA 系统 user_list_3g.jsp 接口存在 SQL 注入漏洞，攻击者可通过输入恶意 SQL 代码，突破系统原本设定的访问规则，未经授权访问、修改或删除数据库中的各类敏感信息，包括但不限于员工个人资料、企业核心业务数据等。

九思OA 存在SSRF漏洞，攻击者可利用此漏洞探测内网，攻击内网或本地应用

九思OA user_list_3g.jsp SQL注入漏洞。

九思OA系统是安装、实施、学习、操作、维护的OA系统，由北京九思协同软件有限公司开发。九思OAuser_list_3g存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

九思OA XXE漏洞

九思OA XXE漏洞

九思 OA wap.do 文件读取漏洞

九思OA CustomDesktopAction 存在SQL注入漏洞，攻击者可利用此漏洞获取数据库敏感信息

九思OA系统是安装、实施、学习、操作、维护的OA系统。 九思OA系统存在任意文件读取漏洞。允许攻击者利用漏洞获取敏感信息。

九思OA系统是安装、实施、学习、操作、维护的OA系统。北京九思协同办公软件存在任意文件读取漏洞，攻击者可利用该漏洞获取服务器敏感信息等。

此编号已经被分配用于标识某安全漏洞，出于安全考虑，漏洞详情暂不公开。

【漏洞对象】九思OA 【涉及版本】GetRawFile 【漏洞描述】 九思OA任意文件读取