MeterSphere 是一站式開源持續(xù)測試平臺，覆蓋測試管理、接口測試、UI 測試和性能測試等。

在 MeterSphere 受影響版本中，由于沒有對 /get/all、/all/{userId} 等接口做權(quán)限認證，未授權(quán)的攻擊者可以通過訪問這些接口，獲取所有團隊的郵箱、name、手機號、id 等敏感信息。

漏洞名稱	MeterSphere 未授權(quán)訪問漏洞
漏洞類型	未授權(quán)敏感信息泄露
發(fā)現(xiàn)時間	2023-08-05
漏洞影響廣度	一般
MPS 編號	MPS-gxew-hdmv
CVE 編號	CVE-2023-38494
CNVD 編號	-

影響范圍

io.metersphere:metersphere-sdk@(-∞, 2.10.4)

io.metersphere:metersphere-project-management@(-∞, 2.10.4)

io.metersphere:metersphere-system-setting@(-∞, 2.10.4)

修復方案

將組件 io.metersphere:metersphere-sdk 升級到 2.10.4 或更高版本

將組件 io.metersphere:metersphere-project-management 升級到 2.10.4 或更高版本

將組件 io.metersphere:metersphere-system-setting 升級到 2.10.4 或更高版本

參考鏈接

https://www.oscs1024.com/hd/MPS-gxew-hdmv

https://nvd.nist.gov/vuln/detail/CVE-2023-38494

關(guān)注公眾號：拾黑（shiheibook）了解更多

友情鏈接：

關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級服務(wù)市場：https://www.ijiandao.com/
安全、綠色軟件下載就上極速下載站：https://www.yaorank.com/