search

whyour / qinglong

支持 Python3、JavaScript、Shell、Typescript 的定时任务管理平台（Timed task management platform supporting Python3, JavaScript, Shell, Typescript）
http://demo.ninesix.cc:4433
Apache License 2.0
15.19k stars 2.86k forks source link

protobuf版本问题 #2388

Closed hkyyi closed 1 month ago

hkyyi commented 1 month ago

Qinglong version

2.17.5

Steps to reproduce

青龙2.17.5的protobuf版本当前是7.2.3，存在安全漏洞，更新protobuf到7.2.5解决这个问题

What is expected?

protobufjs 6.10.0 到 7.2.5 之前的 7.x 版本允许原型污染

What is actually happening?

攻击者可以使用用户控制的 protobuf 消息，通过添加和覆盖其数据和函数来污染 Object.prototype 的原型

System Info

No response

Any additional comments?

No response

whyour commented 1 month ago

最新版已修复