Gerapy 远程命令执行（CVE-2021-32849）分析和复现

最新推荐文章于 2026-06-23 02:17:55 发布

原创

最新推荐文章于 2026-06-23 02:17:55 发布 · 1.3k 阅读

标签

#web安全

收录于

本文详细介绍了Gerapy 0.9.7及其以下版本存在的一个安全漏洞，该漏洞允许攻击者通过project_clone端点执行任意命令。问题源于在克隆GitHub项目时，未对用户提供的地址进行有效验证，攻击者可以构造特殊地址触发命令注入。文章提供了漏洞复现步骤，包括环境搭建、正常请求流程以及如何利用此漏洞执行命令。提醒用户升级到最新版本以修复此安全问题。

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看

简介

Gerapy是一款基于Scrapy、Scrapyd、Django和Vue.js的分布式爬虫管理框架。

漏洞描述

该漏洞源于程序没有正确清理通过project_clone端点传递给Popen的输入。攻击者可利用该漏洞执行任意命令。

影响版本

Gerapy <= 0.9.7

代码分析

此次漏洞产生于gerapy/server/core/views.py文件

关键代码


@api_view(['POST'])
@permission_classes([IsAuthenticated])
def project_clone(request):
    """
    clone project from github
    :param request: request object
    :return: json
    """
    if request.method == 'POST':
        data = json.loads(request.body)
        address = data.get('address')
        if not address.startswith('http'):
            return JsonResponse({'status': False})
        address = address + '.git' if not address.endswith('.git') else address
        cmd = 'git clone {address} {target}'.format(address=address, target=join(PROJECTS_FOLDER, Path(address).stem))
        logger.debug('clone cmd %s', mcd)

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看