漏洞描述
在致远OA 攻击者可通过构造恶意请求,绕过登陆鉴权后调用 syncConfigManager 方法进行代码执行。
漏洞危害
1、远程代码执行(RCE):攻击者可以构造恶意的请求数据,在操作系统上执行任意代码。获取系统权限,访问敏感数据等。
2、窃取敏感数据:攻击者可以窃取服务器上的敏感数据,如用户帐户、密码、数据库内容等。可能导致隐私泄露和数据泄露。
修复方法
一、临时缓解措施:
在确保业务不受影响的前提下,可暂时拦截对/seeyon/thirdpartyController.do接口的访问请求。
限制访问来源地址,如非必要,不要将系统开放在互联网上。
二、升级修复方案:
升级产品至最新版本,下载地址:https://www.seeyon.com/ 或 https://www.seeyon.com/home/Zhuanq/a8oa.html
评分维度
长亭安全产品覆盖情况
漏洞时间线
漏洞披露
2023-08-09
漏洞信息更新
2025-03-24