任意创建用户,无需审核,直接登录。

1、首先我们确定一个不存在或者密码错误的用户名:

 

TRS WCM越权直接创建任意用户(无需审核) – 网站插图

2、通过webservice调用创建用户的方法,创建一个用户:
 

TRS WCM越权直接创建任意用户(无需审核) – 网站插图1

==============================

成功登录新创建的用户:
 

TRS WCM越权直接创建任意用户(无需审核) – 网站插图2

 

修复方案:

对权限进行限制

    上一篇: 某OA系统多处无需登录从任意文件下载到任意文件

    下一篇: easysite内容管理系统某简单粗暴的SQL注入 - 网站安
本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了,原文地址《TRS WCM越权直接创建任意用户(无需审核) – 网站
   

还没有人抢沙发呢~