漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0196297
漏洞标题：珍爱网后台CRM系统源码泄露外加任意文件读取
相关厂商：珍爱网
漏洞作者： sysALong
提交时间：2016-04-14 17:20
修复时间：2016-06-03 15:50
公开时间：2016-06-03 15:50
漏洞类型：任意文件遍历/下载
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-14： 细节已通知厂商并且等待厂商处理中
2016-04-19： 厂商已经确认，细节仅向厂商公开
2016-04-29： 细节向核心白帽子及相关领域专家公开
2016-05-09： 细节向普通白帽子公开
2016-05-19： 细节向实习白帽子公开
2016-06-03： 细节向公众公开
简要描述：
话说某日，刘关张三人把酒言欢，酒过三旬之后。
关说：大哥，三弟。我实在不胜酒力，先回屋休息片刻。
待‘关’走不久。
刘对张说：三弟，大哥也不胜酒力，咱们俩来日方长。
张说：大哥，你喝点酒嘴就瓢。。。二哥是'云长'啊。。。
…………
详细说明：
首先说一下CRM系统地址：http://211.100.37.7/
http://211.100.37.7/.svn/entries 这里泄露源码文件。如图
这里要说一下，为什么说是后台CRM系统源码呢。因为直接访问
http://211.100.37.34/login.do 不多说，你懂的。
任意文件读取：http://211.100.37.7/resin-doc/viewfile/?contextpath=/&servletpath=&file=index.jsp
漏洞证明：
----------下面是漏洞证明----------
修复方案：
源码看完就删了。。。 没做保留！！！ 这么大的厂商居然给小rank。。。醉了。
版权声明：转载请注明来源 sysALong@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2016-04-19 15:48
厂商回复：
安全无小事，谢谢sysALong。
最新状态：
暂无