Vulfocus靶场 | Druid 任意文件读取(CVE-2021-36749)

漏洞原理

由于用户指定 HTTP InputSource 没有做出限制，可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。由于 Apache Druid 默认情况下是缺乏授权认证，攻击者可利用该漏洞在未授权情况下，构造恶意请求执行文件读取，最终造成服务器敏感性信息泄露。

漏洞复现

 

 

 

 

 

 

posted @ 2022-08-20 22:36  mlxwl  阅读(192)  评论(0)  编辑  收藏  举报