用友致远U8-OA getSessionList jsp信息泄露复现

1. 漏洞描述

用友 U8-OA getSessionList.jsp存在漏洞,攻击者通过该漏洞可以获取到所有用户的session ID，利用获取到的session ID即可登录到系统。

2. 网络测绘

fofa: "用友U8-OA"

3. 漏洞复现

1. 登录页面

2. 验证POC

/yyoa/ext/https/getSessionList.jsp?cmd=getAll

3. 将其拼接/yyoa/common/js/menu/menu.jsp，点击重新登录，将值替换为之前获取到的session ID值。

4. 进入系统之后，对代码进行查看，跳转页面。

5. 查看源代码，发现部分人员出现信息泄露

4. 修改意见

对getSessionList.jsp进行鉴权处理