漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0106338
漏洞标题：招远市文化馆任意文件上传
相关厂商：cncert国家互联网应急中心
漏洞作者： 路人甲
提交时间：2015-04-09 15:16
修复时间：2015-05-28 16:48
公开时间：2015-05-28 16:48
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-09： 细节已通知厂商并且等待厂商处理中
2015-04-13： 厂商已经确认，细节仅向厂商公开
2015-04-23： 细节向核心白帽子及相关领域专家公开
2015-05-03： 细节向普通白帽子公开
2015-05-13： 细节向实习白帽子公开
2015-05-28： 细节向公众公开
简要描述：
招远市文化馆GOV站任意文件上传
详细说明：
招远市文化馆GOV站任意文件上传,可shell 要是不修复 会给网站带来不必要的损失！
http://www.jdwy.zhaoyuan.gov.cn/admin/uploadfile.asp 问题出在这任意文件上传 了解了一下这样的漏洞大部分政府网站都存在。这次就拿着举例。
漏洞证明：
如图要是这样下去！这么大的权限,网站会被不发分子挂马盈利！请政府部门加紧修复！
希望乌云的大大也能通过一下,本人也是一片爱国之心啊！ shell就不拿了 权限这么大不用说了。支持乌云、、
修复方案：
管理只要把这个上传的删了 就行了
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-04-13 16:47
厂商回复：
CNVD未直接复现所述情况，已经转由CNCERT下发给山东分中心，由其后续协调网站管理单位处置。
最新状态：
暂无