search

dromara / Jpom

🚀简而轻的低侵入式在线构建、自动部署、日常运维、项目监控软件
https://jpom.dromara.org/
Other
1.31k stars 281 forks source link

项目引用了com.h2database:h2等56个开源组件，存在1个漏洞，建议升级 #13

Closed ghost closed 2 years ago

ghost commented 2 years ago

大佬，看你这个项目调用了com.h2database:h2等56个开源组件，存在1个安全漏洞，建议你升级下。

漏洞标题：Markdown To Pdf 注入漏洞
漏洞编号：CVE-2021-23463
漏洞描述：
Markdown To Pdf是德国Simon Hanisch个人开发者的一个简单且可破解的 Cli 工具。用于将 Markdown 转换为 pdf。
Markdown To Pdf 中存在注入漏洞，该漏洞源于该服务使用org.h2.jdbc.JdbcResultSet.getSQLXML方法获得解析字符串时如果getSource方法的参数为DOMSource.class会引起恶意注入。以下产品及版本受到影响：H2database 2.0.202 之前版本。
影响范围：[1.4.198, 2.0.202)
最小修复版本：2.0.202
引入路径：
io.jpom.plugins:db-h2@2.8.14->com.h2database:h2@1.4.200

还有其它几个漏洞，信息有点多我就不贴了，你自己看下完整报告：https://www.mfsec.cn/jr?p=i77d1b 你对这个issues有任何疑问可以回复我，我能看见哈。

bwcx-jzy commented 2 years ago

@dromara，同学，您好，上面的漏洞报告是我IDE运行时，安全插件提示您这个项目存在的几个漏洞的报告，辛苦您修复一下哈，担心其他人也会用到你这个项目，从而引入这些漏洞。：）

这个相关开发我们已经开始做啦，因为需要考虑兼容旧版数据（h2 1.x 和 2.x 不直接兼容）需要点时间和完善的方案。还请等待我们后面版本更新此问题

bwcx-jzy commented 2 years ago

2.9.0 版本完成升级，更新说明：https://jpom.io/docs/index.html#/FQA/upgrade-to-2.9.x