Apache Druid 0.20.1 之前版本中引入的變更允許攻擊者執行內嵌在多種要求類型中使用者提供的 JavaScript 程式碼。此功能預定用於高信任度環境，且預設為停用。不過，在 Druid 0.20.0 和更舊版本中，未經驗證的使用者可傳送特製的要求，強制 Druid 針對該要求執行使用者提供的 JavaScript 程式碼，而無論伺服器組態為何。攻擊者可利用此問題以 Druid 伺服器處理程序的權限在目標電腦上執行程式碼。

偵測

Apache Druid < 0.20.1 RCE (直接檢查)

high Nessus Plugin ID 148241

版本 1.40