【高危漏洞】用友GRP-U8内控管理软件存在任意文件（/servlet/FileUpload）上传漏洞
【高危漏洞】用友GRP-U8内控管理软件存在任意文件（/servlet/FileUpload）上传漏洞
moon 皓月当空w 2023-12-02 15:23
皓月当空，明镜高悬
文末有图片更好保存
（包含福利内容）~
漏洞早知道
漏洞名称：用友GRP-U8内控管理软件存在任意文件上传漏洞
漏洞出现时间：2023年12月1日
影响等级：高危
影响版本：
用友GRP-U8R10产品
漏洞说明：
用友政务公司获知用友GRP-U8内控管理软件存在任意文件（/servlet/FileUpload）上传漏洞后，第一时间组织团队进行应急响应，分析处理漏洞问题并发布相关解决补丁，并对相关支持人员进行培训。本次漏洞通过http://ip:port/servlet/FileUpload接口上传文件，通过更改文件后缀形式绕过系统文件类型校验，并通过上传文件更改文件上传路径，将文件保存到其他路径下。存在一定的安全隐患。
修复方式：
– 厂商已提供漏洞修补方案，请关注厂商主页及时更新：https://security.yonyou.com/#/noticeInfo?id=447
相关链接：
– https://security.yonyou.com/#/noticeInfo?id=447
最快的威胁情报，最全的漏洞评估
Tips
用友公司成立于1988年，致力于把基于先进信息技术（包括通信技术）的最佳管理与业务实践普及到客户的管理与业务创新活动中，全面提供具有自主知识产权的企业管理/ERP软件、服务与解决方案。
图片版本更好保存哦~
近期文章：
【严重漏洞】【poc公开】Cacti<1.2.25 reports_user.php SQL注入漏洞
【严重漏洞】Apache Superset 任意文件写入漏洞
【严重漏洞】 Apache FreeRDP 出现多个cve漏洞
【高危漏洞】【未修复】EduSoho企培开源版存在未授权访问漏洞
【严重漏洞】CVE-2023-34968 Samba信息泄露漏洞
【高危漏洞】启明星辰信息安全技术有限公司4A统一安全管控平台存在命令执行漏洞
【高危漏洞】CVE-2023-40195-Apache Airflow 存在反序列化漏洞
上图中的截图就是目前新开发的系统，但是很多功能都不完善，当然有内部测试的计划，但是目前账号体系还在建立，有意见，或者是提前想进行测试的伙伴可以在公众号后台私信，目前的想法是做一个比较简洁的漏洞情报系统，能够拿到最快的漏洞情报，并且实现推送功能，后期可能会增加一个poc提交或者是报告提交的功能，当然目前还是以漏洞情报展示和推送为主，有好的建议一定要找我哟。
平台目前情况：
皓月当空-BugSearch
当前收录漏洞数量：12160
推送功能目前还没有实现
当然除了漏洞情报系统，针对公众号还有什么其他问题也可以找我，包括不限于排版，内容以及公众号运营的问题。
最后感谢您的关注，江湖寂寞，愿你我同行
合作可联系：