
蓝凌OA dataxml.jsp 前台绕过RCE漏洞
蓝凌OA系统的dataxml.jsp文件存在远程代码执行(RCE)漏洞。尽管该系统此前曾出现过后台代码执行漏洞,但此次漏洞更为严重,攻击者可以通过构造特定的POST请求,利用该漏洞将系统中的文件从/ekp/sys/common/目录移动到/resource/help/km/review/目录,随后在前台新的位置执行这些文件,从而达到前台远程代码执行的目的。此漏洞严重威胁系统的安全性和数据完整性,可能导致系统被完全控制。
漏洞危害
可能导致攻击者在服务器上执行任意命令,获取敏感数据、破坏系统文件、窃取用户凭证、进行拒绝服务攻击等。此外,攻击者还可能利用该漏洞进行权限提升,进一步控制整个服务器或网络。
修复方法
确保/sys/ui/sys_ui_component/sysUiComponent.do目录的移动权限严格受限,仅允许特定的授权用户或进程进行操作,以防止未经授权的目录移动行为。
确保只有授权用户可以访问和操作dataxml.jsp文件及相关功能,并严格控制文件的读写权限。
厂商已发布补丁修复此漏洞,漏洞内部编号为EKP-1216。请尽快联系厂商(蓝凌官网)获取补丁下载更新。
参考链接
https://xz.aliyun.com/t/15006
[超站]友情链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
关注数据与安全,洞悉企业级服务市场:https://www.ijiandao.com/

随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 中欧携手合作意义重大而深远 7904792
- 2 “中部第一省”或将易主 7808836
- 3 609分考生称被误录“厦大马来分校” 7714494
- 4 台风暴雨预警齐发 这些地区需注意 7616667
- 5 樊振东3比0世界第一林诗栋 7523422
- 6 张碧晨告别《年轮》 7424570
- 7 饿了么前CEO被抓 4千万贿款藏出租屋 7328313
- 8 刘强东参加总理座谈会 再登新闻联播 7237978
- 9 高分考生被误录到马来西亚 校方回应 7139781
- 10 面馆论杯卖茅台爆火 店主:身心俱疲 7046284