致远A8-V5协同管理软件未授权访问(通杀V5，获取系统内各种缓存信息)

### 简要描述： 致远A8-V5协同管理软件存在未授权访问，可以利用普通用户权限访问system权限页面，获取大量缓存信息，如用户信息。 ### 详细说明： 利用之前提交的漏洞“致远A8-V5协同管理软件日志信息泄露(通杀V5)”获取到的某弱口令用户对http://a8v51.seeyon.com进行测试，发现致远A8-V5协同管理软件还存在未授权访问，可以利用普通用户权限访问system权限页面，获取大量缓存信息，如2000+用户信息。 ### 漏洞证明： 登录某普通用户 [<img src="https://images.seebug.org/upload/201412/221027493cf4015bcafe0d56f61e6d16acc33106.png" alt="u1.PNG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/221027493cf4015bcafe0d56f61e6d16acc33106.png) 访问 ``` http://a8v51.seeyon.com/seeyon/ctp/sysmgr/monitor/cacheDump.do ``` 获取到功能列表页面 [<img src="https://images.seebug.org/upload/201412/2210312100e8be2ae151aee145eff2fe9100a107.png" alt="u1.PNG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/2210312100e8be2ae151aee145eff2fe9100a107.png) ``` http://a8v51.seeyon.com/seeyon/ctp/sysmgr/monitor/cacheDump.do?g=com.seeyon.ctp.organization.dao.OrgCache&c=OrgMember ``` 获取到Items:2766个用户信息 [<img src="https://images.seebug.org/upload/201412/221030258015ea0fc00360bdbde373c158fae79d.png" alt="u1.PNG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/221030258015ea0fc00360bdbde373c158fae79d.png) 如上功能授权system用户进行访问 [<img src="https://images.seebug.org/upload/201412/22103354f3824ea0376d279f1e95a0d5043f619b.png" alt="u2.PNG" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/22103354f3824ea0376d279f1e95a0d5043f619b.png) 不应该让普通用户访问 类似缺陷不仅一个