Yearning front 接口任意文件读取漏洞

Yearning是中国Henry Yee个人开发者的一个出色方便快捷的 Mysql SQL 审核平台。Yearning 2.3.1 版本、Interstellar GA 2.3.2 版本和 Neptune 2.3.4 - 2.3.6 版本存在安全漏洞，该漏洞源于存在一个任意文件读取漏洞。攻击者可以利用该漏洞获取敏感信息。
更新漏洞清单如下（最前的为最新更新漏洞）：
Yearning front 接口任意文件读取漏洞浙大恩特客户资源管理系统 crmbasicaction 任意文件上传SPON世邦 IP网络对讲广播系统存在任意文件读取用友CRM系统存在逻辑漏洞全程云-OA ajax sql注入用友GRP-U8 ufgovbank.class XXE用友U8 Cloud smartweb2.RPC.d XXE蓝凌OA sysuicomponent 任意文件上传蓝凌-EIS doc_fileedit_word.aspx sql注入蓝凌-EIS login 任意文件上传蓝凌-EIS frm_button_func.aspx sql注入蓝凌-EIS frm_form_list_main.aspx sql注入蓝凌-EIS pdf.aspx 任意文件读取蓝凌-EIS frm-form-upload 任意文件上传蓝凌-EIS-uniformentry-sql注入蓝凌-EIS-showuserinfo-sql注入蓝凌-EIS fl-define-flow-chart-show sql注入Supabase 后端服务平台 SQL注入企语iFair 协同管理系统 任意文件读取漏洞(CVE-2023-47473)智邦国际ERP系统 SQL注入金和OA-uploaddoc-sql注入金和OA sap-b1config-aspx 未授权金和OA jc6 ntko-upload 任意文件上传金和OA upload-json 任意文件上传金和-c6 uploadfileeditorsave 任意文件上传金和-c6 mailtemplates-aspx sql注入金和-c6 carcardinfo-aspx sql注入金和OA UserWebControl.UserSelect.ashx 信息泄露金和OA OfficeServer 任意文件上传金和OA imagefield sql注入金和OA UploadImageDownLoadIn.aspx 任意文件读取金和-c6 gethomeinfo sql注入亿赛通12个漏洞集合WAVLINK 多款路由器 live_api.cgi 存在命令执行wavlink touchlist_sync.cgi命令执行漏洞（CVE-2022-2488）wavlink nightled.cgi命令执行漏洞（CVE-2022-2487）wavlink mesh.cgi命令执行漏洞（CVE-2022-2486）wavlink adm.cgi命令执行漏洞SpringBlade export-user SQL 注入广州拓波软件科技有限公司 TurboMail 邮件系统 viewfile 文件读取漏洞上海冰峰网络有限公司下一代防火墙存在信息泄露天锐绿盾审批系统默认密码漏洞润申信息科技 企业标准化管理系统 DefaultHandler SQL注入漏洞润申信息科技 企业标准化管理系统 CommentStandardHandler SQL注入漏洞泛微-eoffice-config-信息泄露PandoraFMS 监控软件 SQL注入时空智友企业流程化管控系统 uploadStudioFile 文件创建漏洞宇视科技视频监控 main-cgi 文件信息泄金蝶-EAS web 文件读取蓝凌 getLoginSessionId.html 信息泄露用友-u8-crm help2 文件读取HIKVISION 综合安防管理平台任意文件上传万户 ezOFFICE convertFile 文件读取广东全程云科技有限公司全程云OA svc.asmx 存在sql注入数字通指尖云平台SQL注入 Panabit PA-MINI 智能网关 userverify.cgi 文件默认口令漏洞浙江宇视 isc 网络视频录像机 LogReport.php 远程命令执行I Doc View在线文档预览系统存在弱口令I Doc View在线文档预览系统 view 任意文件读取漏洞I Doc View在线文档预览系统 upload 任意文件读取漏洞I Doc View在线文档预览系统 view 服务端请求伪造I Doc View在线文档预览系统system rceI Doc View在线文档预览系统RCE(QVD-2023-45061)泛微e-cology XmlRpcServlet文件读取大华DSS S2-045 OGNL表达式注入用友NC word 文件读取蓝凌OA syszonepersoninfo 信息泄露宇视（Uniview）高清网络摄像机存在信息泄露漏洞Zkteco 百傲瑞达安防管理系统平台存在 shiro 反序列化漏洞奥威亚-视频云平台 download 任意文件读取Guns快速开发平台 Shiro反序列化中控太科（上海）电子科技有限公司(公司)时间精细化管理平台 login 弱口令用友U8 Cloud 10处反序列化RCE湖南建研信息有限公司检测系统文件上传网神 SecGate 3600 authManageSet.cgi 接口登录绕过漏洞网神 SecGate 3600防火墙sec_ssl_agent_import_save任意文件上传用友NC任意文件读取\删除漏洞NETGEAR DGND3700v2 路由器 setup.cgi 接口身份认证绕过漏洞万户OA check_onlyfield.jsp sql注入漏洞OnlyIT 进销存财务管理软件存在弱口令深圳市昂捷信息技术股份有限公司昂捷-ERP EnjoyRMIS_WS信息泄露多个产商安全产品存在命令执行Tenda 路由器 DownloadCfg 信息泄露漏洞北京九思协同软件有限公司九思OA wap.do 任意文件读取时空智友 workflow.sqlResult SQL注入漏洞用友GRP-U8 软件 U8AppProxy 任意文件上传F22服装管理软件系统openfile.aspx前台任意文件下载易宝OA ExecuteSqlForSingle SQL注入漏洞湖南强智科技发展有限公司教务管理系统存在任意文件下载天擎终端安全管理系统clientinfobymid方法SQL注入导致命令执行漏洞智跃人力资源管理系统 GenerateEntityFromTable.aspx SQL注入漏洞易思智能物流无人值守系统-downfile-文件读取HWL-2511-SS popen.cgi 命令执行漏洞Tosei 自助洗衣机 network_test.php 远程命令执行漏洞Telesquare TLR-2005Ksh 路由器 getUsernamePassword 信息泄露漏洞浙大恩特客户资源管理系统 CustomerAction.entphone 任意文件上传漏洞科荣 AIO 管理系统 UtilServlet 任意文件读取深圳市强鸿电子有限公司鸿运主动安全云平台 downloadLogger任意文件下载杭州迪普科技股份有限公司DPTech VPN 存在任意文件读取漏洞XETUX 软件 dynamiccontent.properties.xhtml 远程代码执行漏洞商混ERP系统 DictionaryEdit.aspx 页面存在SQL注入时空智友企业流程化管控系统index.jsp敏感信息泄露时空智友企业流程化管控系统 wc.db 信息泄露漏洞时空智友企业流程化管控系统 formservice SQL注入漏洞时空智友企业流程化管控系统 login 文件读取漏洞时空智友企业流程化管控系统 formservice 文件上传漏洞xxl-job-默认accessToken权限绕过漏洞金蝶云SaveUserPassport存在反序列导致命令执行漏洞金蝶云GetImportOutData存在反序列导致命令执行漏洞Samsung-WLAN-AP路由器RCE奇安信360天擎getsimilarlist存在SQL注入漏洞浙大恩特客户资源管理系统 fileupload.jsp 任意文件上传漏洞BYTEVALUE 智能流控路由器存在命令执行云时空社会化商业 ERP 系统存在 shiro 反序列化漏洞奇安信360天擎rptsvcsyncpoint SQL注入漏洞 Cellinx NVT 摄像机 GetFileContent.cgi 任意文件读取漏洞广联达OA存在信息泄露致远OA 帆软组件 ReportServer目录遍历漏洞万户协同办公平台 ezoffice存在未授权访问漏洞北京万户软件技术有限公司存在sql注入360 新天擎终端安全管理系统信息泄露漏洞金蝶产品-任意文件读取启明天钥安全网关多个漏洞亿赛通update.jsp存在SQL注入锐捷网络股份有限公司校园网自助服务系统存在目录穿越漏洞深圳市朗驰欣创科技股份有限公司视频监控系统绕过登录漏洞用友U8 slbmbygr.jsp 存在sql注入Panabit panalog 任意用户创建漏洞和后台命令执行NUUO 摄像头远程命令执行漏洞泛微 do.php 存在未授权访问北京金盘鹏图软件技术有限公司金盘移动图书馆系统存在任意文件下载亿赛通 UploadFileList 任意文件读取用友U8 bx_dj_check.jsp sql注入泛微e-office存在前台文件上传漏洞泛微e-office—任意文件读取广州图创计算机软件开发有限公司图书馆集群管理系统存在逻辑绕过用友-移动系统管理任意文件读取用友-移动系统管理任意文件上传济南上邦电子科技有限公司电子文档安全管理系统 V6.0存在任意文件下载广东飞企互联科技股份有限公司企业运营管理平台存在登录绕过郑州天迈科技股份有限公司天迈科技网络视频监控系统存在命令执行北京亚鸿世纪科技发展有限公司企业侧互联网综合管理平台存在远程命令执行成都任我行软件股份有限公司管家婆分销ERP系统存在sql注入漏洞速达软件技术（广州）有限公司多款产品存在代码执行上海普华科技发展股份有限公司PowerPMS存在信息泄露大华智慧园区 attachment_downloadByUrlAtt.action 任意文件读取用友移动系统管理存在两处SQL注入漏洞泛微 emessage 管理界面 存在任意文件读取深圳市强鸿电子有限公司鸿运主动安全云平台存在任意文件下载漏洞深圳市强鸿电子有限公司鸿运主动安全云平台存在sql注入北京南北天地科技股份有限公司ERP系统存在未授权访问北京南北天地科技股份有限公司ERP系统存在sql注入e-office协同办公平台Init.php存在SQL注入漏洞广东飞企互联科技股份有限公司企业运营管理平台存在任意文件读取成都海翔软件有限公司海翔药业云平台存在sql注入网神下一代极速防火墙存在任意文件下载华测监测预警系统任意读取漏洞江苏叁拾叁信息技术有限公司OA存在sql注入用友GRP-UP-U8 listSelectDialogServlet 存在sql注入金和OA GetTreeDate.aspx SQL注入用友NC cloud uploadChunk 存在任意文件上传EasyCVR 视频管理平台存在信息泄露北京宏景世纪软件股份有限公司人力资源信息管理系统存在xxe漏洞e-office协同办公平台json_common.php存在SQL注入漏洞深信服NGAF下一代防火墙loadfile.php存在任意文件读取漏洞红帆HFOffice是广泛应用于医院的OA系统list接口存在SQL注入漏洞福建博思软件股份有限公司博斯软件V6.0存在sql注入金蝶云星空存在任意文件读取用友致远A6 operaFileActionController.jsp 任意文件读取漏洞泛微 download.php 任意文件读取金和 clobfield 存在sql注入蓝凌EIS智慧协同平台 api.aspx 接口存在任意文件上传H2db console 未授权访问万户OA DocumentEdit_unite.jsp 存在sql注入泛微 e-Mobile 移动管理平台文件上传漏洞红帆OA ioFileDown.aspx 存在任意文件下载漏洞用友-U8-Cloud upload.jsp 存在任意文件上传用友GRP-U8 forgetPassword_old.jsp 存在sql注入浙江大华技术股份有限公司智能物联综合管理平台(ICC)存在逻辑漏洞Casdoor系统 存在信息泄露广联达 test.aspx 存在信息漏洞致远oa-getAjaxDataServlet-xxe任意文件读取漏洞大为计算机软件开发有限公司知识产权协同创新管理系统任意密码重置Saber企业级开发平台任意登录浙江大华技术股份有限公司智能物联综合管理平台(ICC)存在任意文件读取多个厂商AC集中管理平台存在信息泄露某司酒店智慧营销系统存在sql注入用友 com.ufida.web.action.ActionServlet 未授权访问华为Auth-Http Server 1.0任意文件读取