正文

【严重漏洞】【POC已公开】Smartbi windowUnloading限制绕过导致远程代码执行

admin
admin V管理员 /0 评论 /52 阅读
0929
此篇文章发布距今已超过55天，您需要注意文章的内容或图片是否可用！

皓月当空，明镜高悬


文末有图片更好保存~

漏洞早知道

漏洞名称：Smartbi windowUnloading限制绕过导致远程代码执行

漏洞出现时间：2023年8月24日

影响等级：严重

影响版本：

  • Smartbi@[V6, V9]

  • Smartbi@[V97, +∞]

漏洞说明：

Smartbi V6及其以上版本的 /smartbi/vision/RMIServlet API存在验证不当问题，攻击者可向该接口发送恶意构造的POST请求，并将 url 编码后的恶意 className 和 methodName 参数传入 windowUnloading 参数中绕过权限验证，调用后端接口。

利用方式：已公开。

修复方式：

  • https://www.smartbi.com.cn/patchinfo。

相关链接：

  • https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=114990725


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
宙飒天下网