ShowDoc < 3.2.6 存在 SQL 注入漏洞-低调大师

ShowDoc < 3.2.6 存在 SQL 注入漏洞

2024-06-04 375

漏洞描述

ShowDoc 是基于thinkPHP开发的开源文档管理系统，支持使用 Markdown 语法书写API文档、数据字典、在线Excel文档等功能。

ShowDoc 3.2.6之前版本存在sql注入漏洞，在 Showdoc 的/server/index.php?s=/api/item/pwd路径的item_id参数存在拼接执行逻辑，攻击者可利用 sql 注入爆破用户的 user_token，进而窃取管理员凭据，获取所有API文档、附件及LDAP等配置信息。

漏洞名称	ShowDoc < 3.2.6 存在 SQL 注入漏洞
漏洞类型	SQL注入
发现时间	2024-06-03
漏洞影响广度	-
MPS编号	MPS-d9mn-w0ph
CVE编号	-
CNVD编号	-

影响范围

showdoc/showdoc@(-∞, 3.2.6)

修复方案

将组件 showdoc/showdoc 升级至 3.2.6 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-d9mn-w0ph

Commit

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/295762

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

🔥 FolkMQ v1.5.2 发布

FolkMQ 是个“新式”的消息中间件。强调：“小而巧”、“简而强”。可内嵌，可单机，可集群（部署包为 9Mb）。功能简表角色功能生产者（客户端）发布普通消息、Qos0消息、定时消息、顺序消息、可过期消息、事务消息、广播消息消费者（客户端）订阅、取消订阅。消费-ACK（自动、手动）服务端发布-Confirm、订阅-Confirm、取消订阅-Confirm、派发-Retry、派发-Delayed 客户端语言支持 Java、Python、JavaScript（支持 node.js 后端，web 前端）传输协议支持 tcp、udp、websocket、kcp 本次更新新增 folkmq-embedded （带控制台的"内嵌版"）添加 server-broker 的 folkmq.maxConsumeWaiting 配置支持优化 server-broker 许可证配置改为可视界面优化强制派送条件，对正在派发中或超过1次的消息有效（之前为2次）优化强制派空处理 socket.d 升为 2.5.3 面向简单编程 1) 启动服务 docker run -...

2024-06-04

320

漏洞描述 Apache OFBiz是一个著名的电子商务平台，提供了创建基于最新J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 Apache OFBiz 版本 18.12.14 之前版本中存在路径遍历漏洞，由于对HTTP请求URL中的特殊字符（如；、%2e）限制不当，威胁者可构造恶意请求利用该漏洞，成功利用可能导致远程代码执行。漏洞名称 Apache OFBiz 路径遍历漏洞漏洞类型路径遍历发现时间 2024-06-03 漏洞影响广度 - MPS编号 MPS-xb5v-24ik CVE编号 CVE-2024-36104 CNVD编号 - 影响范围 ofbiz@(-∞, 18.12.14) 修复方案将组件 ofbiz 升级至 18.12.14 及以上版本参考链接 https://www.oscs1024.com/hd/MPS-xb5v-24ik Commit Issue 免费情报订阅&代码安全检测 OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安...

2024-06-04

302

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。