一、漏洞概述 近日,绿盟科技CERT监测到用友畅捷通T+存在任意文件上传漏洞,未经身份认证的远程攻击者可构造特定请求上传恶意文件到目标系统,从而在服务器上执行任意代码。目前已发现在野利用,有消息称此漏洞被用来进行大批量的勒索软件攻击,鉴于此漏洞影响范围较大,建议相关用户尽快进行排查与修复。 用友畅捷通 T+是一款...
用友畅捷通T+是一款新型互联网企业管理软 件,能够满足成长型中小型工贸和商贸企业对其财务业务一体化应用的管控需求,融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。 2022年8月30日,用友畅捷通T+曝出存在任意文件上漏洞,该漏洞允许未经认证的攻击者可以构造特定请求上传恶意文件到目标系统,从而执行任...
关于畅捷通 关于我们 业务代表处 公司动态 公司全景 阳光经营 投资者关系 投资者关系 公告与通函 财务报告 登录注册 首页 / 新闻中心 / 安全通告—畅捷通 T+自有部署版本存在文件上传漏洞 (漏洞编号:CNVD-2022-60632)安全通告—畅捷通 T+自有部署版本存在文件上传漏洞 (漏洞编号:CNVD-2022-60632)2022-09-01 ...
一、漏洞描述 022年8月29日和8月30日,畅捷通公司紧急发布安全补丁修复了畅捷通T+软件任意文件上传漏洞。未经身份认证的攻击者利用该漏洞,通过绕过系统鉴权,在特定配置环境下实现任意文件的上传,从而执行任意代码,获得服务器控制权限。目前,已有用户被不法分子利用该漏洞进行勒索病毒攻击的情况出现。 CNVD对该漏洞的...
1. 用友畅捷通T+版本17.0及之前版本中发现了一个任意文件上传漏洞。2. 该漏洞允许未经验证的远程攻击者上传任意文件，可能导致目标系统执行任意代码。3. 目前已经有野外利用的案例，这些案例可能涉及大规模的勒索软件攻击。4. 建议所有受影响的用户立即进行安全检查并应用官方提供的补丁。5. 对于已经部署...
用友 畅捷通T+ Upload.aspx接口存在任意文件上传漏洞,攻击者通过 preload 参数绕过身份验证进行文件上传,控制服务器 漏洞影响 用友 畅捷通T+ 漏洞复现 fofa语法:app="畅捷通-TPlus" 登录页面如下: 上传文件类型验证不完善,可上传任意文件到服务器中的任意位置,验证POC ...
1.2漏洞详情 未经授权的恶意攻击者通过畅捷通T+暴露的Web服务接口,将恶意文件上传到目标服务器上。恶意攻击者通过访问上传的恶意文件进行Getshell,从而达到接管服务器权限、执行任意代码的目的。 2.影响范围 畅捷通T+ < = 17.X 3.严重等级 高危 4.处置方法 ...
用友畅捷通T+是一款新型互联网企业管理软 件,能够满足成长型中小型工贸和商贸企业对其财务业务一体化应用的管控需求,融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。 2022年8月30日,用友畅捷通T+曝出存在任意文件上漏洞,该漏洞允许未经认证的攻击者可以构造特定请求上传恶意文件到目标系统,从而执行...
近期,六方云安全团队监测到畅捷通发布一则安全公告,修复了一个存在于畅捷通T+中的任意文件上传漏洞,通告如下: 而在8月底,各大安全公司或团队就陆续收到多起用户反馈其服务器遭受勒索病毒攻击,导致服务器文件被锁,数据被加密,遭受病毒勒索的用户需支付赎金0.2个比特币(约2.8万元人民币)才能解锁。六方云安全团队关注到...