Zapier 暴露的代码中的严重漏洞：Zenity 发现#ZAPESCAPE

Zenity是no-code和low-code开发安全治理的领跑者，公布了他们在 Code by Zapier中发现的一个严重的沙箱逃逸漏洞。这个被称为 #ZAPESCAPE 的漏洞可能会让攻击者完全控制组织的执行环境，可能会授予他们操纵结果和窃取敏感信息的权限。

Zenity的安全研究团队于 2022 年 3 月中旬在 Code by Zapier中发现了该漏洞， Zapier使用该服务作为 Zap 的一部分执行自定义代码。利用#ZAPESCAPE 可以使用户控制管理员的自定义代码执行环境。此外，该漏洞利用可以通过用户的私人文件夹执行，管理员无法访问该文件夹，因此无法检测到。

Zenity的联合创始人兼首席技术官Michael Bargury 说：“我们团队发现的漏洞允许任何Zapier用户完全控制他们整个组织的环境。用户可以阅读甚至操纵管理员的 zaps，而管理员会没有办法知道这件事。”

Zapier的安全团队一直乐于助人并迅速解决该问题，该问题现已完全缓解。此披露已与Zapier团队协调， Zenity确认该漏洞已完全缓解。但是，2022 年 8 月 17 日之前Zapier用户帐户的代码可能已被利用。

Bargury 补充说，虽然Zapier是一个安全的平台，但没有任何平台可以免受漏洞的影响。创建 Zap 时，用户必须负责保护他们在平台上构建的内容，因为no-code开发仍然是开发，需要遵守共享责任模型。

作为第一个也是唯一一个用于无代码/ low-code应用程序、集成和自动化的安全治理平台， Zenity提供了一项基本服务。随着AppMaster等无代码/ low-code平台的兴起，专业和公民开发人员都可以创建定制的软件解决方案，而无需广泛的编码知识。然而，如果没有得到充分的治理和管理，这种便利会带来潜在的安全风险。

Zenity使 IT 和安全专业人员能够全面了解和控制他们的无代码/ low-code资产。这使他们能够消除潜在的漏洞并采用更安全的开发方法。该平台提供跨平台清单、持续风险评估、自动补救措施和治理手册等功能，以在整个无代码/ low-code生命周期中实施安全策略。

Zenity由前Microsoft网络安全领导者和专家Ben Kliger和Michael Bargury创立，是 IT 去中心化安全治理领域的领导者。该公司与包括财富 500 强企业在内的大型企业合作，并领导 OWASP 十大低代码/ No-Code安全风险小组。