CVE:CVE-2021-20148
CNNVD:CNNVD-202201-078
ZOHO ManageEngine ADSelfService Plus是美国卓豪（ZOHO）公司的针对 Active Directory 和云应用程序的集成式自助密码管理和单点登录解决方案。
ZOHO ManageEngine ADSelfService Plus 存在安全漏洞，该漏洞源于 ManageEngine ADSelfService Plus 在 build 6116 下将每个域的密码策略文件存储在 html/ web 根目录下，并根据域名使用可预测的文件名。 当 ADSSP 配置了多个 Windows 域时，来自一个域的用户可以通过向服务进行身份验证然后发送指定另一个域的密码策略文件的请求来获取另一个域的密码策略。
solution:Upgrade zohocorp manageengine_adselfservice_plus to a higher version than 6.0,6.1,6.1:6100,6.1:6101,6.1:6102,6.1:6103,6.1:6104,6.1:6105,6.1:6106,6.1:6107,6.1:6108,6.1:6109,6.1:6110,6.1:6111,6.1:6112,6.1:6113,6.1:6114,6.1:6115,and avoid the version (,6.0],6.1,6.1:6100,6.1:6101,6.1:6102,6.1:6103,6.1:6104,6.1:6105,6.1:6106,6.1:6107,6.1:6108,6.1:6109,6.1:6110,6.1:6111,6.1:6112,6.1:6113,6.1:6114,6.1:6115