ShowDoc < 3.2.6 存在 SQL 注入漏洞-低调大师

ShowDoc < 3.2.6 存在 SQL 注入漏洞

2024-06-04 355

漏洞描述

ShowDoc 是基于thinkPHP开发的开源文档管理系统，支持使用 Markdown 语法书写API文档、数据字典、在线Excel文档等功能。

ShowDoc 3.2.6之前版本存在sql注入漏洞，在 Showdoc 的/server/index.php?s=/api/item/pwd路径的item_id参数存在拼接执行逻辑，攻击者可利用 sql 注入爆破用户的 user_token，进而窃取管理员凭据，获取所有API文档、附件及LDAP等配置信息。

漏洞名称	ShowDoc < 3.2.6 存在 SQL 注入漏洞
漏洞类型	SQL注入
发现时间	2024-06-03
漏洞影响广度	-
MPS编号	MPS-d9mn-w0ph
CVE编号	-
CNVD编号	-

影响范围

showdoc/showdoc@(-∞, 3.2.6)

修复方案

将组件 showdoc/showdoc 升级至 3.2.6 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-d9mn-w0ph

Commit

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/295762

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

🔥 FolkMQ v1.5.2 发布

FolkMQ 是个“新式”的消息中间件。强调：“小而巧”、“简而强”。可内嵌，可单机，可集群（部署包为 9Mb）。功能简表角色功能生产者（客户端）发布普通消息、Qos0消息、定时消息、顺序消息、可过期消息、事务消息、广播消息消费者（客户端）订阅、取消订阅。消费-ACK（自动、手动）服务端发布-Confirm、订阅-Confirm、取消订阅-Confirm、派发-Retry、派发-Delayed 客户端语言支持 Java、Python、JavaScript（支持 node.js 后端，web 前端）传输协议支持 tcp、udp、websocket、kcp 本次更新新增 folkmq-embedded （带控制台的"内嵌版"）添加 server-broker 的 folkmq.maxConsumeWaiting 配置支持优化 server-broker 许可证配置改为可视界面优化强制派送条件，对正在派发中或超过1次的消息有效（之前为2次）优化强制派空处理 socket.d 升为 2.5.3 面向简单编程 1) 启动服务 docker run -...

2024-06-04

278

漏洞描述 Apache OFBiz是一个著名的电子商务平台，提供了创建基于最新J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 Apache OFBiz 版本 18.12.14 之前版本中存在路径遍历漏洞，由于对HTTP请求URL中的特殊字符（如；、%2e）限制不当，威胁者可构造恶意请求利用该漏洞，成功利用可能导致远程代码执行。漏洞名称 Apache OFBiz 路径遍历漏洞漏洞类型路径遍历发现时间 2024-06-03 漏洞影响广度 - MPS编号 MPS-xb5v-24ik CVE编号 CVE-2024-36104 CNVD编号 - 影响范围 ofbiz@(-∞, 18.12.14) 修复方案将组件 ofbiz 升级至 18.12.14 及以上版本参考链接 https://www.oscs1024.com/hd/MPS-xb5v-24ik Commit Issue 免费情报订阅&代码安全检测 OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安...

2024-06-04

278

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。