免责声明
由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号望雪阁及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除整改并向您致以歉意。谢谢！
*前言：
泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。
*漏洞描述
泛微e-cology某处功能点最初针对用户输入的过滤不太完善，导致在处理用户输入时可触发XXE。后续修复规则依旧可被绕过，本次漏洞即为之前修复规则的绕过。攻击者可利用该漏洞列目录、读取文件，甚至可能获取应用系统的管理员权限。
*漏洞影响范围
Ecology 9.x 补丁版本 < 10.58.1
Ecology 8.x 补丁版本 < 10.58.1
app.name="泛微 e-cology 9.0 OA"
app.name="泛微 e-cology OA"
GET /rest/ofs/deleteUserRequestInfoByXml HTTP/1.1Host: {{Hostname}}Content-Length: 35Content-Type: application/xmlAccept-Encoding: gzip
X-POC远程检测工具
检测方法：
xpoc -r 401 -t http://xpoc.org
工具获取方式：
https://github.com/chaitin/xpoc
https://stack.chaitin.com/tool/detail?id=1036