Apache Kylin 3.0.1 命令注入 PoC 公开

有人在 Sploitus 等漏洞利用聚合渠道公开了 Apache Kylin 3.0.1 中 CVE-2020-13925 命令注入漏洞的 PoC 和复现步骤。PoC 使用 GET 请求访问 /kylin/api/diag/project/ 路径，并在其中注入 wget 命令，使其向 Burp Collaborator 域名发起请求。 复现步骤称，需按 Apache Kylin 官方仓库用 Docker 部署，并将版本改为存在漏洞的 3.0.1；登录 http://host:7070/kylin/login 时使用默认账号 ADMIN/KYLIN，再进入 System → Configuration → Diagnosis 页面。上述效果来自公开 PoC 的描述，尚未见独立验证。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。