Apache Druid 任意文件读取(CVE-2021-36749)

日期: 2021-10-18 | 影响软件: Apache Druid | POC: 否

漏洞描述

在 Druid 摄取系统中，InputSource 用于从某个数据源读取数据。HTTP InputSource 允许经过身份验证的用户以 Druid服务器进程的权限从其他来源读取数据。当用户通过允许用户指定 HTTP InputSource 而不是 Local InputSource 的应用程序间接与Druid 交互时，用户可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制，从而造成任意文件读取。

PoC代码

暂无

相关漏洞推荐