search

zyune / Hosipatal_SpringBoot-master

7 stars 0 forks source link

同学，您这个项目引入了43个开源组件，存在11个漏洞，辛苦升级一下 #1

Open ghost opened 2 years ago

ghost commented 2 years ago

检测到 zyune/Hosipatal_SpringBoot-master 一共引入了43个开源组件，存在11个漏洞

漏洞标题：Fastjson 1.2.25-1.2.47版本远程代码执行漏洞
缺陷组件：com.alibaba:fastjson@1.2.46
漏洞编号：
漏洞描述：Fastjson 是Java语言实现的快速JSON解析和生成器，在1.2.25-1.2.47版本中攻击者可通过精心构造的JSON请求，绕过此前修复机制，远程执行任意代码。
漏洞原因：
攻击者可通过白名单类java.lang.Class绕过checkAutotype方法，利用fastjson的cache机制引入恶意类，并调用连接远程rmi主机，通过其中的恶意类执行代码。
影响范围：[1.2.25, 1.2.48)
最小修复版本：1.2.48
缺陷组件引入路径：com.hospipatal:his@0.0.1-SNAPSHOT->com.alibaba:fastjson@1.2.46

另外还有11个漏洞，详细报告：https://mofeisec.com/jr?p=i5a392

kwaicssec commented 2 years ago

@zyune，同学，您好，上面的漏洞报告是我IDE运行时，安全插件提示您这个项目存在的几个漏洞的报告，辛苦您修复一下哈，担心其他人也会用到你这个项目，从而引入这些漏洞。：）