一、漏洞分析

YApi 后台的 pre-request 和 pre-response 功能存在被利用风险，通 过填写脚本，调用自动化测试 runAutoTest()时会触发跟进变量被传 入了 crossRequest 函数，利用 vm 模块构造可逃逸的命令执行数据包 达到命令执行利用。

二、风险等级

严重

三、影响范围

影响版本：版本≤1.10.2

四、处置建议

目前官方已出修复补丁，建议更新至修复后的版本，以下 为下载链接： https://github.com/YMFE/yapi/commit/59bade3a8a43e7d b077d38a4b0c7c584f30ddf8c