YAPI远程代码执行漏洞
- CNNVD编号：未知
- 危害等级： 高危
- CVE编号：未知
- 漏洞类型： 远程代码执行
- 威胁类型：远程
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2021-07-09
- 更新时间：2021-07-09
漏洞简介
1、组件介绍
YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务，可以帮助开发者轻松创建、发布和维护不同项目，不同平台的API。
2、漏洞描述
2021年7月8日，深信服安全团队监测到一则YAPI组件存在远程代码执行漏洞的信息，漏洞威胁等级：高危。
该漏洞是由于没有针对mock模块输入的内容进行检测，攻击者可利用该漏洞在进行简单的注册之后，构造恶意的JS代码绕过沙盒，最终造成远程代码执行。
漏洞公示
暂无
参考网站
暂无
受影响实体
在世界范围内，YAPI主要部署在中国，在土耳其、美国、新加坡等国家也有少量部署。
国内主要分布在浙江、北京、广东等地。
目前受影响的YAPI版本：未知
补丁
1、如何检测组件系统版本
登录站点主页，可在最下方查看组件版本：
该漏洞官方暂未发布补丁，请受影响的用户实时关注官网以获取最新信息。链接如下:
3、临时解决方案
1.关闭YAPI注册功能
2.删除恶意账户
3.回滚服务器快照
4.同步删除恶意mock脚本以防止二次攻击
