漏洞描述：
Smartbi在安装时会内置几个用户，在使用特定接口时，可绕过用户身份认证机制获取其身份凭证，随后可使用获取的身份凭证调用后台接口，可能导致敏感信息泄露和代码执行。
影响版本:V7 <= Smartbi <= V10
修复建议
在确认不影响业务的前提下，删除内置的几个账号（public、service、system）。
官方已发布升级补丁包，支持在线升级和离线补丁安装。
https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=50692623
原文始发于微信公众号（飓风网络安全）：【漏洞复现】Smartbi内置用户登陆绕过漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论