1. 漏洞描述
用友 U8-OA getSessionList.jsp存在漏洞,攻击者通过该漏洞可以获取到所有用户的session ID，利用获取到的session ID即可登录到系统。
2. 网络测绘
fofa: "用友U8-OA"
3. 漏洞复现
1. 登录页面
2. 验证POC
/yyoa/ext/https/getSessionList.jsp?cmd=getAll
3. 将其拼接/yyoa/common/js/menu/menu.jsp，点击重新登录，将值替换为之前获取到的session ID值。
4. 进入系统之后，对代码进行查看，跳转页面。
5. 查看源代码，发现部分人员出现信息泄露
4. 修改意见
对getSessionList.jsp进行鉴权处理