教学视频应用任意文件上传

Avcon综合管理平台 avcon接口存在SQL注入

00

漏洞概述

AVA 教学视频应用云平 VideoCover接口存在任意文件上传漏洞，可未授权上传脚本文件。

01

空间搜索语法

fofa

body="YK_Validate/YK_Validate.js"&&body="/CSS/NewtonTheme/assets/app.css"

02

利用过程

登录界面

VideoCover接口存在任意文件上传漏洞，可未授权上传脚本文件。

漏洞存在响应包如下。

webshell访问路径如下

http://xxxx/xxx.aspx

影响较大poc放在星球了

附赠优惠券感兴趣的师傅可以看一看

后台回复：“快乐星球” 关注最新动态

微信群已经创建，感兴趣的师傅后台回复：进群

原文始发于微信公众号（左逆安全攻防）：教学视频应用任意文件上传