用友TurboCRM /ajax/getemaildata.php 任意文件下载漏洞

用友TurboCRM /getemaildata.php 路径存在任意文件下载漏洞

1、窃取敏感信息：攻击者可以通过下载文件获取网站或应用程序上存储的敏感信息，例如用户账户、密码、银行账户信息、个人隐私等。
2、攻击服务器：攻击者可以下载与服务器有关的文件，例如配置文件、密码文件、证书、证书密钥等，这可能导致攻击者进一步攻击服务器或获取更多的信息。
3、窃取知识产权：攻击者可以通过下载机密文件窃取网站或应用程序的知识产权或其他重要信息，例如源代码、设计文档等。

在确保业务不受影响的前提下，可以暂时拦截对/ajax/getemaildata.php接口的访问请求。
限制访问来源地址，如非必要，不要将系统开放在互联网上。
升级产品至最新版本以修复漏洞。