search

SusizeChina / eureka-server

0 stars 0 forks source link

同学，您这个项目引入了109个开源组件，存在38个漏洞，辛苦升级一下 #1

Open ghost opened 2 years ago

ghost commented 2 years ago

检测到 SusizeChina/eureka-server 一共引入了109个开源组件，存在38个漏洞

漏洞标题：XStream远程代码执行漏洞
缺陷组件：com.thoughtworks.xstream:xstream@1.4.13
漏洞编号：CVE-2020-26217
漏洞描述：XStream是XStream团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
XStream 1.4.14之前版本存在安全漏洞，该漏洞源于容易受到远程代码执行的攻击。攻击者可利用该漏洞仅通过操纵已处理的输入流来运行任意shell命令。只有依赖黑名单的用户才会受到影响。 
国家漏洞库信息：https://www.cnvd.org.cn/flaw/show/CNVD-2020-63975
影响范围：(∞, 1.4.14)
最小修复版本：1.4.14
缺陷组件引入路径：com.example:eureka-server@0.0.1-SNAPSHOT->org.springframework.cloud:spring-cloud-starter-netflix-eureka-server@2.2.6.RELEASE->org.springframework.cloud:spring-cloud-netflix-eureka-server@2.2.6.RELEASE->com.thoughtworks.xstream:xstream@1.4.13

另外还有38个漏洞，详细报告：https://mofeisec.com/jr?p=a25ebe

kwaicssec commented 2 years ago

@SusizeChina，同学，您好，上面的漏洞报告是我IDE运行时，安全插件提示您这个项目存在的几个漏洞的报告，辛苦您修复一下哈，担心其他人也会用到你这个项目，从而引入这些漏洞。：）