配置不当直接执行命令，可以危及整个内网系统，由于该漏洞的IP没有绑定域名，也就是说不是*.letv.com，而众测里说的是带域名的，不带域名的不收，所以sobug不认这漏洞。大家觉得这种洞应该收吗？http://123.126.32.82:8080/script
Jenkins无认证，可直接访问

可以看到有公网IP和内网IP，经过ping测试可以直接连通公网，故而反弹或者直连SOCKS5代理即可直接访问内网系统。
wget一个扫描脚本进行初步探测：
 

网站的banner信息里也显示是letv的内网无误，继而通过curl等其他命令，可以访问内网资源。

println "curl http://10.126.32.75/".execute().text

修复方案：

设密码