关于致远互联协同管理平台COP-A9存在未授权源码组件下载漏洞的漏洞预警

爱喝酒烫头的曹操

2026年11月11日 10:28
陕西

去阅读

以下文章来源于我不懂安全
，作者Vlan911

我不懂安全
.

分享挖掘漏洞小技巧，分享安全案例以及一些安全动态，分享实用技术

漏洞名称：致远互联协同管理平台COP-A9存在源码泄露漏洞

漏洞描述：致远互联协同管理平台COP-A9存在源码泄露漏洞，远程攻击者在无需授权认证的情况下即可下载平台内部 Maven 构件仓库的任意已知坐标构件

风险等级：中

利用难度：极低，需要知道受影响系统组件名称、组件对应版本号

漏洞影响版本：软件版本：V5.3.0  受影响组件版本：boot-starter-file <= 5.\*.200

漏洞细节：

平台的文件下载接口 /xxx/xxx/xxx/download 对 storageKey 参数采用 fail-open（失败即放行）的鉴权判定，未认证攻击者仅凭一条 URL 即可下载平台内部 Maven 构件仓库中的全部已知坐标构件，进而获取平台服务端全部组件的完整实现（Java 字节码可近乎无损还原为源码）、组件精确版本号与构建时间戳，以及打包在构件内的数据库建表脚本（库表结构）

漏洞复现：

复现要点：需要知道组件包版本

获取组件包大致版本很简单，系统存在多处未授权访问接口，都能泄露系统组件的版本

直接访问即可下载jar包

下载pom

由于产品的后台实际上都是由后台组件、核心组件撑起来的，所以实际上下载组件包就相当于拿到了源代码，至于如何拿到那么多组件的组件名称、组件版本，实际上是有方法的，这里不具体透露

防护建议：

致远官方已经对未授权访问漏洞、源码下载漏洞进行了补丁更新，请联系维保进行补丁升级