CVE-2020-27986
漏洞描述：该漏洞是由于SonarQube缺少对于API访问权限的验证，恶意攻击者可以在不经过身份验证的情况下访问API接口，通过遍历其配置信息从而获得SonarQube平台上保存的程序源代码，最终导致敏感信息泄露风险。此外，暴露的端口通过与漏洞CVE-2020-28002结合，还可以上传任意文件，危害较大。该漏洞已经成功造成多起恶意事件。
影响版本：SonarQube < 8.6
POC:
api/settings/values api/webservices/list
漏洞复现
![图片[1]-【初级】SonarQube API信息泄露漏洞-NGC660安全实验室](http://ngc660.cn/wp-content/uploads/2022/09/d2b5ca33bd105832-1024x439.png)
![图片[2]-【初级】SonarQube API信息泄露漏洞-NGC660安全实验室](http://ngc660.cn/wp-content/uploads/2022/09/d2b5ca33bd105839-1024x409.png)
© 版权声明
部分文章采集于互联网，若侵权请联系删除！
THE END
![表情[chi]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/chi.gif)
![表情[xiaojiujie]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/xiaojiujie.gif)
![表情[weiqu]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/weiqu.gif)
![表情[qinqin]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/qinqin.gif)
![表情[leiben]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/leiben.gif)
![表情[baiyan]-NGC660安全实验室](http://ngc660.cn/wp-content/themes/zibll/img/smilies/baiyan.gif)
请登录后查看评论内容