4D Server SOAP 漏洞安全公告总结 漏洞概述 标题： 4D Server SOAP 中通过 XML 外部实体 (XXE) 实现任意文件读取和服务端请求伪造 (SSRF) CVE ID： CVE-2024-39847 发布日期： 2026年4月29日 风险等级： CVSS 4.0 评分 8.7 详细描述： 未认证的攻击者可以利用 4D Server SOAP 端点中 XML 解析功能的弱点。这允许攻击者获取应用程序服务器和相邻网络共享上的文件读取访问权限，并执行 HTTP GET 请求到任意服务。 影响范围 受影响产品： 4D Server 受影响版本： v20 R3 漏洞类型： CWE-611 (XML 外部实体引用的限制不当) 修复方案 升级至 4D Server 20 R7 或更高版本。 利用代码 (POC) 阶段 1：发送给 端点的 XML 主体 阶段 2：攻击者控制的服务器返回的 DTD 文件 ( ) 自动化利用脚本 ( )** 该脚本利用 Flask 启动一个外带服务器（端口 2121）和一个查询端点（端口 1337）。