YApi <1.11.0 存在远程代码执行漏洞-低调大师

YApi <1.11.0 存在远程代码执行漏洞

2022-11-11 733

漏洞描述

YApi 是一个可本地部署的可视化的接口管理平台。

YApi 在 1.11.0 之前的版本中存在远程代码执行漏洞，因为 base.js 没有正确对 token 参数进行正确过滤，攻击者可通过MongoDB注入获取用户 token（包括用户ID、项目ID等），进而使用自动化测试 API 接口写入待命命令，利用沙箱逃逸触发命令执行。

漏洞名称	YApi <1.11.0 存在远程代码执行漏洞
漏洞类型	代码注入
发现时间	2022-11-11
漏洞影响广度	一般
MPS编号	MPS-2022-60494
CVE编号	-
CNVD编号	-

影响范围

yapi@(-∞, 1.11.0)

修复方案

升级yapi到 1.11.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-60494

https://github.com/YMFE/yapi/commit/59bade3a8a43e7db077d38a4b0c7c584f30ddf8c

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/217373

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Spring Framework 6.0 RC4 发布

Spring Framework 6.0.0 发布了第四个 RC 版本。此版本包括 12 项 Bugfix 和功能改进，应该是 Spring Framework 6.0.0 正式 GA 前的最后一个 RC 版本，目前计划于 11 月中旬发布正式版。新特性为 SQL Server 序列引入 DataFieldMaxValueIncrementer#29447 在 ListableBeanFactory 上引入 findAllAnnotationsOnBean 变体#29446 支持 Jakarta WebSocket 2.1#29436 在选择处理程序之前支持@ControllerAdvice在 WebFlux 中处理异常#22991 Bugfix 修复具有未解决的泛型的 Bean 无法使用 AOT fallback 算法的问题#29454 修复 TomcatRequestUpgradeStrategy 与 Tomcat 10.1 不兼容的问题#29434 修复由 factory bean 生成的泛型的 Autowiring 在 AOT 处理后无法运行的问题#29385 优化文档修...

2022-11-11

503

2022年11月11日，以“公平·信任·成长·共赢”为主题的华为数据中心能源全球生态政策沟通及新品发布会在华为三丫坡成功举办。会上，华为发布数据中心能源最新伙伴政策和下一代智能微模块、小型锂电UPS两大重磅新品，旨在携手全球伙伴构筑产业新生态，共创商业新价值。华为数字能源技术有限公司总裁侯金龙华为数字能源技术有限公司总裁侯金龙在开场致辞中表示，面对数据中心巨大的发展机遇，华为将坚定不移加大在数据中心能源领域的投入，聚焦生态、研发、团队三大领域，全方位支持伙伴，共同推动数据中心产业蓬勃发展。全面使能伙伴，共筑繁荣生态华为数字能源全球Marketing与销售服务总裁杨友桂面向全球正式发布数据中心能源全新伙伴政策。他分享了商业市场生态战略以及如何赋能伙伴、使能伙伴，通过领先的产品和数字化平台，全力帮助伙伴做大做强，并强调华为坚持被集成战略，秉承“以利益为纽带，以规则为保障，以诚信为基础”的合作原则，聚焦“保护、赚钱、简单、成长”四大变革，提出以十大政策聚拢能力型伙伴，构建以伙伴为主的销售、服务体系，与伙伴共成长、同发展。华为数字能源全球Marketing与销售服务总裁杨友桂保...

2022-11-11

367

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。