严重
泛微OA clusterupgrade 前台文件上传漏洞
披露时间：
2023-07-26
更新时间：
2025-02-12
CT 编号
CT-812507
CVE 编号
N/A
CNVD 编号
N/A
CNNVD 编号
N/A
原理分类
文件上传
漏洞评分
8.1
漏洞描述
泛微OA 10.58.3补丁以下的版本存在前台文件上传漏洞，未经授权的远程攻击者可通过发送特殊的HTTP请求来触发文件上传，最终可导致攻击者获取远程服务器权限。
漏洞危害
1、执行任意代码：攻击者可以通过上传包含恶意代码的文件，执行任意代码并控制受害者的计算机或服务器，导致数据泄露、破坏或其他恶意行为。
2、篡改或删除数据：攻击者可以上传包含恶意代码的文件，并篡改或删除服务器上的重要文件或数据。
3、钓鱼攻击：攻击者可上传 html、shtm 等文件，并写入非法博彩、赌博等恶意 SEO 页面或者写入恶意 js 文件进行钓鱼来非法获取用户信息等。
检测工具
远程检测工具下载
xpoc -r 404 -t http://10.1.1.1
本地检测工具下载
./weaver_ecology_frontend_file_upload_vuln_scanner_windows_amd64.exe
修复方法
官方已发布安全修复补丁，建议受影响的用户尽快升级至v10.58.3或之后的补丁版本。
下载地址：https://www.weaver.com.cn/cs/securityDownload.asp#
评分维度
长亭安全产品覆盖情况
雷池（SafeLine）下一代Web应用防火墙
洞鉴（X-Ray）安全评估系统
云图（Cloud Atlas）攻击面管理运营平台
牧云（CloudWalker） 主机安全管理平台
全悉（T-ANSWER）高级威胁分析预警系统
谛听（D-Sensor） 伪装欺骗系统
漏洞时间线
漏洞披露
2023-07-26
漏洞信息更新
2025-02-12
