禅道开源版文件上传漏洞

漏洞编号：CNVD-C-2020-121325

威胁程度：高

影响范围：

禅道开源版<=12.4.2

漏洞描述：

禅道官网发布了12.4.3版本更新公告，修复了一个文件上传的漏洞。恶意攻击者（需要登陆后台的任意用户）可以通过fopen、fread、fwrite方法结合file、http、ftp等协议，读取或上传任意敏感文件，成功利用漏洞可获得目标系统的敏感文件及系统管理权限。

修复建议：

升级至禅道开源版12.4.3

相关链接：

https://www.zentao.net

https://www.zentao.net/download/zentaopms12.4.3-80272.htm

KnowSafe

https://www.zentao.net/download/zentaopms12.4.3-80272.htm

禅道