本文介绍了用友NC产品的一个安全漏洞，该漏洞允许攻击者通过download接口下载服务器上的任意文件，从而可能导致敏感信息泄露。复现过程包括使用nuclei poc，并给出了修复建议，即限制对/download路由的访问权限。
免责声明 由于传播、利用本优快云所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！
一、产品介绍
用友NC是一款企业级ERP软件。作为一种信息化管理工具，用友NC提供了一系列业务管理模块，包括财务会计、采购管理、销售管理、物料管理、生产计划和人力资源管理等，帮助企业实现数字化转型和高效管理。
二、漏洞描述
用友ufida-NC download 接口处存在任意文件下载漏洞，攻击者可通过该漏洞在服务器端下载任意文件，导致服务器敏感信息泄露。
三、漏洞危害
攻击者可通过该漏洞在服务器端下载任意文件，导致服务器敏感信息泄露。
四、搜索特征
fofa：app="用友-UFIDA-NC"
订阅专栏 解锁全文
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
