TongWeb 漏洞列表

反序列化漏洞主要发生在应用程序未对用户输入的序列化字符串进行充分检查的情况下，攻击者可以通过构造恶意的序列化数据来进行攻击，从而控制应用程序的行为，执行任意代码，访问或修改敏感数据，甚至可能导致整个系统的控制权被攻陷。

文件读取漏洞是指攻击者通过某种方式获取对系统文件的读取权限，从而访问敏感信息，如配置文件、源代码、用户数据等。这种漏洞通常是由于应用程序未正确实施权限控制或者未对用户输入进行充分过滤和验证导致的。

远程命令执行漏洞是指攻击者通过构造特定的请求，使得服务器端执行非预期的命令，从而可能导致未授权的数据访问、权限提升、服务中断等严重后果。这种漏洞通常由于应用程序对用户输入的验证不充分或者对外部命令调用缺乏必要的安全控制而产生。

目录遍历漏洞，也称为路径遍历，是一种安全漏洞，攻击者通过修改文件路径参数来访问系统上不允许的文件和目录。这种漏洞通常发生在应用程序没有正确验证文件路径或用户输入的情况下，攻击者可以利用特定的路径遍历字符（如'..'或'/'）来绕过正常的访问控制，读取、修改或删除敏感文件，甚至可能获取系统权限。

文件删除漏洞通常发生在应用程序未能正确验证用户请求的合法性时，攻击者可以通过构造特定的请求，诱导应用程序删除关键的数据文件，例如数据库文件、备份文件或配置文件等。这种漏洞可能导致数据永久丢失、系统不稳定或无法正常运行，严重时甚至可能导致整个服务的中断。

弱口令漏洞指的是系统中使用了简单、容易猜测或常见的密码，导致攻击者可以通过猜测或暴力破解的方式轻易获取账户权限，进而访问或控制受影响的系统资源。这种漏洞通常由于缺乏有效的密码策略或用户对安全意识的忽视造成。

远程命令执行漏洞是指攻击者通过构造特定的请求，使得服务器端执行非预期的命令，从而可能导致未授权的数据访问、权限提升、服务中断等严重后果。这种漏洞通常由于应用程序对用户输入的验证不充分或者对外部命令调用缺乏必要的安全控制而产生。

/

/

/

/

/

/

/

/

东方通TongWeb应用服务器 运维用户默认口令&后台任意文件上传漏洞可导致远程代码执行

Tongweb selectApp.jsp 文件上传漏洞

Tongweb upload 接口存在文件上传漏洞

远程代码执行漏洞是指攻击者通过某些漏洞在服务器上执行任意代码，这通常是由于应用程序对外部输入的验证不足或处理不当造成的。攻击者可以利用这个漏洞上传恶意代码或直接通过HTTP请求发送恶意代码，从而控制服务器，进行包括数据窃取、网站篡改、服务器资源滥用等在内的多种恶意行为。

东方通TongWeb应用服务器 控制台默认口令结合后台任意文件上传漏洞可导致远程代码执行

东方通TongWeb应用服务器 /console/service 存在反序列化漏洞，可导致远程代码执行

东方通TongWeb应用服务器的JMX服务无需认证可直接登陆，开启配置远程访问的情况下可造成mbean信息泄露

TongWeb是国内政企业务广泛应用的WEB应用服务器，其存在文件上传漏洞，攻击者可以构造恶意的文件上传，获取服务器权限