配置信息泄漏

[jim2017jim]

https://github.com/alibaba/canal/blob/master/admin/admin-web/src/main/java/com/alibaba/otter/canal/admin/config/WebConfig.java

.excludePathPatterns("/api/**/config/**")

可以去掉么，会导致
/api/v1/canal/config/1/1
这类访问把配置信息泄漏，虽然是加密值，但是由于密文是默认密码，可以百度密文反推出来。

这个访问关掉的影响是什么呢？

[agapple]

最新代码已修改

[aboutZZ]

🐴了个🐔，完蛋，现在才看到这个漏洞，去查nginx日志，发现已经有人爬到了，/api/v1/canal/config/1/0 接口被请求了几十次，卧槽。

还好admin的默认密码改了

以后再用国产的开源玩意要慎之又慎，KPI产物。

看看隔壁fastjson，成天不是在修复漏洞就是在修复漏洞的路上，还各种高风险漏洞。再看看人家jackson。

[LiuGuangTong]

网络世界真有趣