NC NC Cloud 漏洞列表

NC、NC Cloud、YonBIP高级版公共入口ServiceDispatcherServlet存在反序列化漏洞导致GetShell漏洞，利用漏洞可以在目标服务器上执行任意代码，从而窃取服务器敏感信息。

NC及NC CLOUD系统可利用queryworkbench接口的SQL注入漏洞，实现获取服务器敏感信息。

NC及NC CLOUD系统可利用MaLoginAction接口的SQL注入漏洞，实现获取服务器敏感信息。

<span style="color: rgb(0, 0, 0);">NC及NC Cloud系统可利用webservice IMetaWebService4BqCloud XXE漏洞实现SQL注入。</span>

<span style="color: rgb(0, 0, 0);">NC及NC Cloud系统的TbbOutlineUpateVersionService传入的参数string存在SQL注入漏洞，可窃取服务器敏感信息。</span>

NC及NC Cloud系统的IResourceManager接口存在文件上传漏洞，黑客可上传webshell，从而控制应用服务器。

NC及NC Cloud系统的接口存在fastjson信息泄露漏洞。攻击者可利用该漏洞获取服务器的出网情况。

<span style="color: rgb(0, 0, 0);">NC及NC Cloud系统/uapws/service/nc.itf.tb.oba.INtbOBAWebService，通过此入口可任意调用到内部敏感代码执行威胁操作。</span><br>

<span style="color: black;">NC、NC Cloud系统反序列化未进行黑名单校验导致异常反序列化，增加反序列化黑名单校验。</span>

<span style="color: rgb(0, 0, 0);">NC、NC Cloud系统存在uapws接口的XXE 漏洞，可执行任意命令。</span>