存在如下漏洞

一、XSS
后台文章管理处存在xss
![输入图片说明](https://foruda.gitee.com/images/1698150537515596098/954afa04_9516553.png "屏幕截图")
其他人访问网页即可触发：
 ![输入图片说明](https://foruda.gitee.com/images/1698150554430744254/47a0135c_9516553.png "屏幕截图")
并且管理员再次修改文章的时候是看不到该payload的。
系统配置-超级链接管理存在xss
 ![输入图片说明](https://foruda.gitee.com/images/1698150550012395730/2da70e48_9516553.png "屏幕截图")
![输入图片说明](https://foruda.gitee.com/images/1698150562133753853/c3b85b99_9516553.png "屏幕截图")
系统配置-网站信息管理存在xss
![输入图片说明](https://foruda.gitee.com/images/1698150565572118087/7dcfdc4c_9516553.png "屏幕截图")
![输入图片说明](https://foruda.gitee.com/images/1698150572273282707/fca6b7a5_9516553.png "屏幕截图")
系统配置-首页图片管理存在xss
![输入图片说明](https://foruda.gitee.com/images/1698150575468540127/04912e48_9516553.png "屏幕截图")
![输入图片说明](https://foruda.gitee.com/images/1698150579225648401/f45c847c_9516553.png "屏幕截图")
二、未授权下载数据库备份文件
![输入图片说明](https://foruda.gitee.com/images/1698150583529222676/cb626962_9516553.png "屏幕截图")
没有做权限鉴定，任何人都可以访问下载到，可以遍历时间戳爆破来下载：
http://localhost:8888/wetech-web/resources/backup/1479700142459_%E5%86%8D%E5%86%8D%E6%AC%A1%E6%B5%8B%E8%AF%95%E7%9A%84%E5%A4%87%E4%BB%BD.tar.gz

cjbi/wetech-cms

内容风险标识

评论 (0)