禅道项目管理系统身份认证绕过风险-低调大师

禅道项目管理系统身份认证绕过风险

2024-04-26 455

漏洞描述

禅道(ZenTao)项目管理系统是国产开源管理软件，提供整套工具来帮助团队管理整个软件开发生命周期，包括需求管理、迭代计划、任务分配、缺陷跟踪、文档管理和测试用例管理等功能。

受影响版本中由于对 API 鉴权不当，未授权的攻击者可绕过身份校验调用任意API，进而通过修改管理员密码登陆系统，结合经过身份校验的远程代码执行漏洞控制目标服务器。

漏洞名称	禅道项目管理系统身份认证绕过风险
漏洞类型	身份验证不当
发现时间	2024-04-26
漏洞影响广度	一般
MPS编号	MPS-djcs-koe8
CVE编号	-
CNVD编号	-

影响范围

禅道项目管理系统@[16.0, 18.12)

禅道项目管理系统@[6.0, 8.12)

禅道项目管理系统@[3.0, 4.12)

修复方案

将组件禅道项目管理系统升级至 18.12 及以上版本

将组件禅道项目管理系统升级至 8.12 及以上版本

将组件禅道项目管理系统升级至 4.12 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-djcs-koe8

https://github.com/easysoft/zentaopms/commit/d13ba70016ca981b08f27e08fb934bf1f23a4135

https://github.com/easysoft/zentaopms/commit/695055c6b1d2e6a8c944bdbc38308c06820c40ce

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/289662

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

开放签：引领中小微企业步入电子签章普惠时代

在数字化转型的大潮中，电子签章以其高效、安全、环保的特点，已成为企业现代化运营不可或缺的工具。然而，对于资源有限、预算敏感的中小微企业来说，寻求一款既经济实惠、又操作便捷的电子签章系统并非易事。正是基于这一市场痛点，我们的产品“开放签”应运而生，开放签致力于为中小微企业提供价格亲民、功能实用且易于上手的电子签章解决方案，同时，通过开源、免费的创新模式，积极推动电子签章技术的普及与普惠。一、价格实惠，赋能企业数字化转型 “开放签”深知中小微企业在数字化进程中面临的成本压力，因此，我们选择了一条与众不同的定价路径——开源且免费。这一策略彻底打破了传统电子签章系统高昂授权费用与复杂计费模式的束缚，使得任何规模的企业，无论预算多少，都能零成本拥有专业级电子签章服务。我们坚信，价格不应成为阻碍企业享受先进科技红利的门槛，“开放签”以实际行动践行这一理念，助力中小微企业轻松跨入电子签章的大门，加速其数字化转型进程。二、功能易用，契合企业实际需求在追求价格普惠的同时，“开放签”并未忽视产品功能与用户体验。我们深入研究中小微企业的日常业务场景与签署需求，精心设计出一套简洁明了、易于操作的功能体系...

2024-04-26

279

沙特2030年愿景和对中国IT企业的市场机会分析前言：最近“开源老DJ，带你去沙特”栏目第一期已经播出，收到了不错的反响。见COPU官网的回顾。（https://mp.weixin.qq.com/s/3B0jNVhybxTF1xPiy2VOJA）有观众希望得到更多详细的信息，所以写下此文，来分析为什么沙特对于中国IT企业来说是一个很好的机会，以及如何抓住它。目录：沙特概况沙特2030愿景简介沙特2030愿景出台背景沙特2030愿景目标沙特2030愿景现在进展沙特2030愿景跟IT相关部分沙特2030愿景对于中国IT的机会中国IT企业该如何抓住这些机会？正文： 1. 沙特概况沙特阿拉伯（Saudi Arabic）位于亚洲、欧洲、非洲三大洲的交界处，人口超过3600万（2022年数据），是中东地区最大的经济体，也是伊斯兰世界的核心国家，拥有两大伊斯兰圣地麦加与麦地那。沙特阿拉伯是全球最大的石油出口国，也是石油输出国（OPEC）的领导者。以下是GDP相关的数字。 GDP 2022年：1.1万亿美元（根据国际货币基金组织数据），是全球20大经济体之一，GDP增长率8...

2024-04-26

279

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。