【漏洞复现】智邦国际 ERP系统 GetPersonalSealData接口处存在SQL注入漏洞免责声明：文章来源互联网收集整理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。
Ⅰ、漏洞描述
Apache OFBiz是一个开源的电子商务平台，提供了创建基于最新的J2EE/XML规范和技术标准，构建大中型企业级、快平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。OFBiz不仅是一个产品及订单管理系统，它还提供了一整套功能，涵盖企业所需的方方面面，包括客户关系管理、项目进度、计费管理、人力资源管理以及订单管理。
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径（请求URL中的特殊字符（如 ；、%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限
Ⅱ、FOFA语句
app="Apache_OFBiz"Ⅲ、漏洞复现
1、发送数据包执行命令
Ⅳ、Nuclei-POC
Ⅴ、修复建议
1、将网络划分为不同的安全区域，以限制 RCE 攻击的潜在影响；
2、定期检查软件更新，并及时应用安全补丁；
3、设置安全访问控制策略。
完整POC及批量检测脚本请前往圈子获取，圈子每天不定时更新漏洞3-5篇，加入圈子即可进入内部群，近期漏洞更新列表如下，此表所更漏洞信息均可在内部群获取
联系圈主
月更列表和周更列表请前往交流群"ONE PIECE"获取链接，联系圈主进群，备注来意
往期全部漏洞合集内容可点击下方名片进入公众号主页，选择漏洞合集查看（点击右上角订阅可第一时间获取漏洞更新信息）
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...