XXL-JOB默认accessToken身份绕过RCE漏洞，攻击者可构造恶意请求获取系统信息等及其它安全风险。
受影响URL：
POST /run HTTP/1.1
简述：XXL-JOB默认accessToken身份绕过RCE漏洞，攻击者可构造恶意请求获取系统信息，造成数据系统及其它安全风险。
nuclei脚本
POC细节发布在知识星球
专注于漏洞情报分享，不发烂大街的东西。星球外面的兄弟欢迎进来白嫖，不满意三天退款。放心大胆的进来嫖。
(星球内部分工具脚本截图)
星球活跃度
精选主题一
精选主题二
精选主题三
精选主题四
精选主题五
马赛克安全实验室专注于:漏洞复现、渗透测试、nday、0day、网络安全、红蓝对抗,持续输出安全相关漏洞情报、漏洞复现相关漏洞验证脚本及工具。
工具列表（点击可直接查看）
[安全工具开发-1]MOSAIC HongJing Crypt Tools V1.0
漏洞分析列表（点击可直接查看）
[漏洞分析-1]契*锁远程代码执行漏洞&upload代码执行漏洞利用分析调试
复现列表（点击可直接查看）
[漏洞复现-21]蓝*OAE*S-saveImg-文件上传漏洞
[漏洞复现-34]Huawei Auth-Http文件泄露漏洞
[漏洞复现-39]用*OA-移动系统-initl-sql注入漏洞
[漏洞复现-40]蓝*OA-getloginSessionId漏洞
[漏洞复现-45]宏*ehr-gettree-sql注入漏洞
注意：⚠️
免责声明：本站提供安全工具、程序(方法)可能带有攻击性，仅供安全研究与教学之用，风险自负!
如果本文内容侵权或者对贵公司业务或者其他有影响，请联系作者删除。
转载声明：著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
订阅查看更多复现文章、学习笔记
thelostworld
安全路上，与你并肩前行！！！！
个人知乎：https://www.zhihu.com/people/fu-wei-43-69/columns个人简书：https://www.jianshu.com/u/bf0e38a8d400个人CSDN：https://blog.csdn.net/qq_37602797/category_10169006.html个人博客园：https://www.cnblogs.com/thelostworld/FREEBUF主页：https://www.freebuf.com/author/thelostworld?type=article语雀博客主页：https://www.yuque.com/thelostworld
欢迎关注公众号：
文章来源: http://mp.weixin.qq.com/s?__biz=MzIyNjk0ODYxMA==&mid=2247487237&idx=1&sn=2c320d6c7f6c7faf7e39a34c81720cad&chksm=e869ec68df1e657e3a0ef3a46bc7124c38502c01d415ab91b2d9ea070268c787c28a2981dbbd&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh
如有侵权请联系:admin#unsafe.sh