we7cms支不支持html,We7CMS多处设计缺陷

漏洞概要

缺陷编号：WooYun-2012-03997

漏洞标题：We7CMS多处设计缺陷

相关厂商：西部动力

漏洞作者：kobin97

提交时间：2012-02-01 14:33

公开时间：2012-02-01 14:33

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

Tags标签：

漏洞详情

披露状态：

2012-02-01: 积极联系厂商并且等待厂商认领中，细节不对外公开

2012-02-01: 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

We7CMS多处设计缺陷，造成多处越权操作，造成严重安全问题。

详细说明：

安装后，安装目录没有被删除，部分文件可以直接被调用。如：http://**.**.**.**/install/InstallWebService.asmx查看成功案例的都存在http://**.**.**.**/install/InstallWebService.asmxhttp://**.**.**.**/install/InstallWebService.asmx。。。。。。直接调用

可以执行更多更严重的操作。。。。如重装后进入后台拿shell，添加用户，重建数据库等。

漏洞证明：

修复方案：

您懂得！

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：6 (WooYun评价)

评价

2010-01-01 00:00 shewey 白帽子 | Rank:0 漏洞数:0)

请教一下怎么调用.asmx文件获取的配置文件