type
status
date
slug
summary
tags
category
icon
password
Apache Unomi 表达式注入远程代码执行漏洞（CVE-2020-13942）
Apache Unomi 是一个基于标准的客户数据平台（CDP，Customer Data Platform），用于管理在线客户和访客等信息，以提供符合访客隐私规则的个性化体验。在Apache Unomi 1.5.1级以前版本中，存在一处表达式注入漏洞，远程攻击者通过MVEL和OGNL表达式即可在目标服务器上执行任意命令。
漏洞环境
环境启动后，通过
http://your-ip:8181或https://your-ip:9443即可访问到Unomi的API。漏洞复现
通过
8181和9443两个端口均可触发漏洞，以下以8181为例。
漏洞利用成功
或者通过
OGNL表达式执行任意命令均可：- 作者:brown
- 链接:https://bbrownn.dpdns.org//article/CVE-2020-13942
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
相关文章
