泛微e，泛微e9

0x01阅读须知

本文中提供的信息仅供网络安全人员在发现或维护网站、服务器等（包括但不限于他们负责的网站、服务器等）时使用。本文仅供分享信息安全防御技术之用，对于您用于其他用途可能产生的不良影响，我们不负法律责任。请严格遵守中华人民共和国相关法律法规，禁止一切违法行为。和犯罪行为。文章中的敏感信息经过多个级别的处理。用户应对因传播和使用本文提供的信息而造成的任何直接或间接后果和损失负责。作者对此不承担任何责任。本文提供的工具仅用于教育目的，不得用于任何其他目的。

0x02漏洞概述

泛微协同管理应用平台e-cology是集企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心于一体的泛微协同管理应用平台。大型企业协同管理平台。

福尔法

app=\’E-Weaver\’

0x03漏洞描述

SSRF 漏洞最常见的原因是服务器提供了从其他服务器检索数据的能力，但没有过滤或限制目标地址。攻击者可以利用此漏洞获取内部系统的信息（因为它是由服务器发起的）。

0x04POC利用(POC在内部星球，点击下方地址加入星球获取POC)

HW漏洞情报（POC在内部星球）

赛蓝企业管理系统EHR***Upload***包含任意文件上传漏洞。

启明星车天晴寒马VPN存在任意文件读取漏洞

科拓智能停车视频收费系统CancelIdList存在SQL注入漏洞

网深SecSSL3600安全接入网关系统VPN存在任意修改密码漏洞

Panwei E-Mobile移动管理平台installOperate.do存在SSRF漏洞

盘维生态9存在SSRF漏洞

H3C Workspace云桌面远程命令执行漏洞

海康威视统一安全管理平台远程代码执行漏洞

LiveNVR流媒体服务软件存在未授权访问漏洞

用友NC-Cloud blobRefClassSearch接口存在FastJson反序列化漏洞

华雷科技物流modifyInsurance存在SQL注入漏洞

天问地产ERP系统ContractDownLoad存在任意文件读取漏洞

Bazarr swaggerui任意文件读取漏洞

天文地产ERP系统李******存在任意文件读取漏洞

天文物业ERP系统Pa*****存在任意文件读取漏洞

天问物业ERP系统Pl*****存在任意文件读取漏洞

天文地产ERP系统Va*****存在任意文件读取漏洞

Apache RocketMQ敏感数据泄露漏洞

飞讯云WMS /MyDown/MylmportData前端SQL注入漏洞

红海云eHR kgFile.mob任意文件上传漏洞

PEPM Cookie 远程代码执行漏洞

Falcon Security（金山）终端安全系统V9远程代码执行漏洞

湖南众和百易信息技术有限公司资产管理操作系统comfileup.php前端文件上传漏洞

地址1 点击直接加入Planet，获取更多未公开漏洞POC

点击这里2全面了解Planet内部VIP部署并获取更多0/1day漏洞POC——终于加入Planet

如果您想加入我们的内部知识星球，请点击上面的链接。资源包括2024个未公开的1day/0day漏洞，共950+2024个更新的漏洞POC，最新的SRC/CNVD/Edu实用挖矿技巧不限。报告、红队内网横向渗透、代码审计、JS逆向工程、SRC培训等课程。这个圈子对初学者很友好。加入圈子即可获得FOFA shadan 360Quake ZoomEye 潮汐零零安全猎手Ctfshow 等高级会员的账号、SRC文档、军械库。圈子里至少有一万条信息，目前有六百多个内星球主题，两千多个资源，一万多个其他和网盘资源，并且持续更新。

内部VIP专属0day速查漏洞库-每日更新汇集全网0/1day POC

2024 年更新的0day/1day（包括公开和未公开的漏洞- 仅列出部分）漏洞合集，更新数量超过950 个。为了获得它，你需要加入这个星球。

一些bug 报告数量超过200 个（仅列出其中少数）。加入Planet获取更多资源和视频资源。这些都是不断更新的。

如果您想加入我们的内部知识星球，请点击上面的链接。资源包括但不限于互联网上未公开漏洞的实战挖掘（总计超过500个更新的漏洞POC）、最新的企业SRC/CNVD/Edu。 2024年技能报告和红队内网横向渗透。 代码审计、JS逆向工程、SRC培训等课程。这个圈子对初学者很友好。加入圈子将为您提供FOFA沙丹360Quake ZoomEye潮汐零零安全猎手等高级会员的账号、SRC文档、军械库。圈子里的信息价值至少在10000以上，目前有500多个星球内部主题，2000多个资源，10000多个其他和网盘资源，而且越早加入，价值越低将。价格。

以上#攀微e相关内容来源仅供参考。相关信息请参见官方公告。