(在野0day)iDocview某接口存在任意文件读取
2023-12-14 09:52:25 Author: 白安全组(查看原文) 阅读量:22 收藏


阅读须知

亲爱的读者,我们诚挚地提醒您,WebSec实验室的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失,均由使用者自行承担责任。WebSec实验室及作者对此概不负责。如有侵权,请立即告知,我们将立即删除并致歉。感谢您的理解与支持!

01

漏洞描述

此在线文档预览系统是一套用于在Web环境中展示和预览各种文档类型的系统,如文本文档、电子表格、演示文稿、PDF文件等。此系统某接口存在任意文件读取漏洞。

02

资产测绘

Hunter语法:app.name="I Doc View"Fofa语法:title="I Doc View"

03

漏洞复现

04

修复建议

  1. 输入验证和过滤:对用户输入进行严格的验证和过滤,确保只允许访问预期的文件。这可以使用白名单或黑名单来实现,具体取决于你的需求和系统架构。

  2. 文件路径检查:在读取文件之前,验证用户请求的文件路径是否合法。可以使用绝对路径、相对路径或者基于应用程序特定的标识符来指定文件路径。确保路径解析是可靠的,并避免使用用户提供的输入直接拼接成路径。

  3. 权限控制:限制应用程序对文件系统的访问权限。确保应用程序只能访问必要的文件,而不能读取敏感文件或系统文件。使用操作系统级别的权限控制机制,如操作系统用户和文件权限设置。

05

星球介绍

  1. 我们郑重承诺,每个工作日都会定时推送高质量的1day,有时也会分享未公开的0day

  2. 目前星球价格为¥99。报名人数达到120人后,费用将上涨至¥199元,达到200人后,费用将上涨至¥299元。

  3. 转发至其他公众号5个拥有100人以上的安全群,加微信后提供截图,私聊球主价格可低至¥66元,但不支持退款

  4. 欢迎投稿最新漏洞poc复现分析文章,符合条件的投稿者将获得一年免费会员资格。

  5. 节假日期间,我们会发放一定数量的优惠券,数量有限,先到先得。

球目前更新漏洞如下:

更多漏洞poc发布在知识星球

- END -


文章来源: http://mp.weixin.qq.com/s?__biz=MzU4MjYxNTYwNA==&mid=2247486967&idx=1&sn=dd3dc136677287b9a955b378c89f038e&chksm=fcfeb8b08c65f71a4e1bed2b0220ae95c7da710ac56e8f3fba8112c0b5b2d0d7011284390401&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh