CVE-2024-39847CVE-2024-39847是4D Server中SOAP端点的一个安全漏洞。由于XML解析器配置不当，未经身份验证的远程攻击者可利用此缺陷，通过发送特制的SOAP请求读取服务器上的敏感文件，访问相邻网络共享，并利用服务器发起HTTP GET请求对内部网络进行探测。
该漏洞的核心在于4D Server处理SOAP请求时使用的XML解析器未正确禁用Document Type Definition (DTD) 外部实体。攻击者可以构造恶意的XML数据包，在DOCTYPE声明中定义一个指向本地文件系统（如file:///etc/passwd）或内部网络资源的SYSTEM实体。当服务器解析此XML时，它会根据实体的定义去读取本地文件内容或向目标URL发起请求，并将结果包含在响应中返回给攻击者。由于无需任何用户交互或身份认证，该漏洞极易被利用进行信息泄露和服务器端请求伪造（SSRF）攻击。