(1day)某友CRM系统某接口存在任意文件上传

admin 2024年5月17日18:01:16评论5 views字数 704阅读2分20秒阅读模式
2024HW一手厂商资源,投递简历添加微信:Xandlxy191001,简历明命格式-姓名电话-等级(初级中级高级)

阅读须知

亲爱的读者,我们诚挚地提醒您,WebSec实验室的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失,均由使用者自行承担责任。WebSec实验室及作者对此概不负责。如有侵权,请立即告知,我们将立即删除并致歉。感谢您的理解与支持!

01

漏洞描述

    某友CRM系统是一款综合性的客户关系管理软件,旨在帮助企业建立和维护与客户之间的良好关系。它提供了全面的功能,包括销售管理、市场营销、客户服务和分析报告等。该系统支持多种行业和企业规模,并具有灵活可定制的特点,可以根据企业的需求进行个性化配置。该CRM系统软件存在任意文件上传漏洞。

(1day)某友CRM系统某接口存在任意文件上传

02

资产测绘

 

Hunter语法:app.name="用友 CRM"

(1day)某友CRM系统某接口存在任意文件上传

03

                                    漏洞复现

(1day)某友CRM系统某接口存在任意文件上传

(1day)某友CRM系统某接口存在任意文件上传

(1day)某友CRM系统某接口存在任意文件上传

04

修复建议

临时缓解方案:
  1. 对用户上传的文件进行严格的输入验证和过滤。检查文件名和文件类型,确保只允许上传合法的文件,并拒绝上传可执行文件或危险文件。
  2. 限制上传文件的存储位置和访问权限。确保上传的文件存储在安全的目录中,并设置适当的访问权限,限制对上传文件的执行和访问。
  3. 使用安全的文件处理函数和API,避免直接执行或包含用户上传的文件。确保在处理用户上传的文件时,使用安全的文件处理函数和API,避免任意文件上传导致的安全风险。

升级修复方案:

官方已发布补丁

05

 

原文始发于微信公众号(WebSec):(1day)某友CRM系统某接口存在任意文件上传(文末加入交流群)

 

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年5月17日18:01:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   (1day)某友CRM系统某接口存在任意文件上传http://cn-sec.com/archives/2750164.html

发表评论

匿名网友 填写信息