组件介绍

YAPI是由去哪儿网移动架构组(简称YMFE，一群由FE、iOS和Android工程师共同组成的最具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具，是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务，可以帮助开发者轻松创建、发布和维护不同项目，不同平台的API。

漏洞描述

2021年7月8日，深信服安全团队监测到一则YAPI组件存在远程代码执行漏洞的信息，漏洞威胁等级：高危。

该漏洞是由于没有针对mock模块输入的内容进行检测，攻击者可利用该漏洞在进行简单的注册之后，构造恶意的JS代码绕过沙盒，最终造成远程代码执行。

影响范围

在世界范围内，YAPI主要部署在中国，在土耳其、美国、新加坡等国家也有少量部署。

国内主要分布在浙江、北京、广东等地。

目前受影响的YAPI版本：未知

如何检测组件系统版本

登录站点主页，可在最下方查看组件版本：

官方修复建议

该漏洞官方暂未发布补丁，请受影响的用户实时关注官网以获取最新信息。链接如下:

https://github.com/YMFE/yapi

临时修复建议

1.关闭YAPI注册功能

2.删除恶意账户

3.回滚服务器快照

4.同步删除恶意mock脚本以防止二次攻击