Yapi mock 脚本命令执行漏洞

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2022-02-21

漏洞描述

Yapi 是高效、易用、功能强大的 api 管理平台，旨在为开发、产品、测试人员提供更优雅的接口管理服务。 Yapi 存在 mock 脚本命令执行漏洞，攻击者通过注册用户，并使用 Mock 功能实现远程命令执行。
影响版本： Yapi < 1.10.1

解决建议

1、更新 Yapi 至官方发布的 1.10.1及以上版本，新版本已修复该漏洞。
2、缓解措施：如果没有使用注册的需求，建议关闭 Yapi 的注册功能。通过修改 Yapi 项目目录下的 config.json 文件，将 closeRegister 字段修改为 true 并重启服务即可。

参考链接
https://paper.seebug.org/1639/

阿里云评分 2.8

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• EXP成熟度 N/A
• 补丁情况 N/A
• 数据保密性 N/A
• 数据完整性 N/A
• 服务器危害 N/A
• 全网数量 N/A

CWE-ID 漏洞类型