企业微信私有化2.5-2.6.93版本后台API未授权访问漏洞
漏洞描述
企业微信私有化2.5.x版本及2.6.930000版本以下后台中存在接口未授权访问漏洞,攻击者通过访问/cgi-bin/gateway/agentinfo接口可获得Secret,从而利用开放API获取企业通讯录等敏感信息及企业微信内应用权限。
漏洞名称 | 企业微信私有化2.5-2.6.93版本后台API未授权访问漏洞 |
---|---|
漏洞类型 | 未授权敏感信息泄露 |
发现时间 | 2023-08-12 |
漏洞影响广度 | 广 |
MPS编号 | MPS-3mwt-574l |
CVE编号 | - |
CNVD编号 | - |
影响范围
企业微信私有化版本@[2.5.0, 2.6.930000)
修复方案
参考链接
https://www.oscs1024.com/hd/MPS-3mwt-574l
免费情报订阅&代码安全检测
OSCS是国内首个开源软件供应链安全社区,社区联合开发者帮助全球顶级开源项目解决安全问题,并提供实时的安全漏洞情报,同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。
免费代码安全检测工具: https://www.murphysec.com/?src=osc
免费情报订阅: https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见: https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
jeecg-boot/积木报表基于SSTI的任意代码执行漏洞
漏洞描述 JeecgBoot 是一款开源的的低代码开发平台,积木报表是其中的低代码报表组件。 JeecgBoot 受影响版本中由于积木报表 /jeecg-boot/jmreport/queryFieldBySql Api接口未进行身份校验,使用 Freemarker 处理用户用户传入的 sql 参数,未经授权的攻击者可发送包含恶意 sql 参数的 http 请求,通过 SSTI 在应用端执行任意代码。 漏洞名称 jeecg-boot/积木报表基于SSTI的任意代码执行漏洞 漏洞类型 代码注入 发现时间 2023-08-13 漏洞影响广度 广 MPS编号 MPS-4hzd-mb73 CVE编号 - CNVD编号 - 影响范围 JeecgBoot @[3.0, 3.5.3] org.jeecgframework.jimureport:jimureport-spring-boot-starter@(-∞, 1.6.0] 修复方案 禁用Freemarker高危的代码执行类,如:freemarker.template.utility.Execute 避免 /jeecg-boot/jmreport...
- 下一篇
jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞
漏洞描述 JeecgBoot 是一款开源的的低代码开发平台,积木报表是其中的低代码报表组件。。 JeecgBoot 受影响版本中,由于 jeecg-boot/jmreport/testConnection Api接口未进行身份验证,并且未对 dbUrl 参数进行限制,当应用端存在H2数据库驱动依赖时,攻击者发送包含恶意 dbUrl 参数的http请求远程执行任意代码。 漏洞名称 jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 漏洞类型 代码注入 发现时间 2023-08-11 漏洞影响广度 广 MPS编号 MPS-bjs4-n6dm CVE编号 - CNVD编号 - 影响范围 JeecgBoot@[3.0, 3.5.3] org.jeecgframework.jimureport:jimureport-spring-boot-starter@(-∞, 1.6.0] 修复方案 避免 jeecg-boot/jmreport/testConnection Api接口直接对外暴露 参考链接 https://www.oscs1024.com/hd/MPS-bjs4-n6dm ...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- Linux系统CentOS6、CentOS7手动修改IP地址
- SpringBoot2配置默认Tomcat设置,开启更多高级功能
- Docker快速安装Oracle11G,搭建oracle11g学习环境
- CentOS7设置SWAP分区,小内存服务器的救世主
- CentOS7安装Docker,走上虚拟化容器引擎之路
- Docker使用Oracle官方镜像安装(12C,18C,19C)
- Red5直播服务器,属于Java语言的直播服务器
- CentOS8安装MyCat,轻松搞定数据库的读写分离、垂直分库、水平分库
- CentOS7,CentOS8安装Elasticsearch6.8.6
- CentOS8编译安装MySQL8.0.19