电子文档安全管理系统 V6.0 resources/backup存在任意文件下载漏洞(DVB-2025-8794)

免责声明

本文所描述的漏洞及其复现步骤仅供网络安全研究与教育目的使用。任何人不得将本文提供的信息用于非法目的或未经授权的系统测试。作者不对任何由于使用本文信息而导致的直接或间接损害承担责任。如涉及侵权，请及时与我们联系，我们将尽快处理并删除相关内容。

0x01 产品介绍

济南上邦电子科技有限公司的电子文档安全管理系统是一款专为企业设计的文档保护解决方案，旨在确保敏感信息的安全性和可控性。该系统通过加密、权限管理、水印、操作审计等功能，有效防止文档的非法访问、复制、打印和传播。支持多种文件格式，适用于各类企业环境，帮助企业实现文档的全生命周期管理，提升数据安全性和合规性。

0x02 漏洞描述

上邦电子文档安全管理系统 /resources/backup接口存在任意文件下载漏洞。任意文件下载漏洞是一种常见的安全漏洞，当Web应用程序未能对用户请求的文件路径进行严格验证时，攻击者便可利用此漏洞下载服务器上的任意文件，包括敏感的配置文件、源代码、数据库文件等。这种漏洞可能导致信息泄露，严重威胁系统安全。为防止此类漏洞，开发者应对文件路径进行严格校验，限制访问范围，并确保服务器配置安全。

0x03 复现环境

body=“docsafe/docsafe.nocache.js”