基础信息
项目名称：cython/cython
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1717001564442984448/1717001564682059776
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| NumPy 代码执行漏洞 | 反序列化 | MPS-2019-0576 | CVE-2019-6446 | 严重 |
| Python 资源管理错误漏洞 | 数值计算不正确 | MPS-2020-15181 | CVE-2020-14422 | 中危 |
| Jupyter Notebook 输入验证错误漏洞 | 跨站重定向 | MPS-2020-16692 | CVE-2020-26215 | 中危 |
| Jupyter Notebook 跨站脚本漏洞 | XSS | MPS-2021-16957 | CVE-2021-32798 | 严重 |
| nbconvert XSS漏洞 | XSS | MPS-2021-24622 | CVE-2021-32862 | 中危 |
| NumPy 缓冲区错误漏洞 | 经典缓冲区溢出 | MPS-2021-25101 | CVE-2021-33430 | 中危 |
| NumPy 安全漏洞 | 不充分的比较 | MPS-2021-25631 | CVE-2021-34141 | 中危 |
| NumPy 代码问题漏洞 | 空指针取消引用 | MPS-2021-32278 | CVE-2021-41495 | 中危 |
| NumPy 安全漏洞 | 经典缓冲区溢出 | MPS-2021-32279 | CVE-2021-41496 | 中危 |
| Interactive Python 安全漏洞 | 不安全的运行时授予权限 | MPS-2021-37057 | CVE-2022-21699 | 高危 |
| Python 输入验证错误漏洞 | MPS-2021-6340 | CVE-2021-29921 | 严重 | |
| ipaddress 存在密码算法不安全漏洞 | 密码算法不安全 | MPS-2022-14951 | 中危 | |
| mistune 存在跨站脚本漏洞 | XSS | MPS-2022-14986 | 中危 | |
| mistune 拒绝服务漏洞 | 拒绝服务 | MPS-2022-20161 | CVE-2022-34749 | 中危 |
| Jupyter Notebook 日志信息泄露漏洞 | 日志敏感信息泄露 | MPS-2022-3725 | CVE-2022-24758 | 高危 |
| Python 安全漏洞 | ReDoS | MPS-2022-57238 | CVE-2022-40897 | 中危 |
| Jupyter Notebook 代码问题漏洞 | 对搜索路径元素未加控制 | MPS-2022-60830 | CVE-2022-39286 | 高危 |
| Jupyter Notebook 安全漏洞 | 直接请求（强制性浏览） | MPS-2022-8639 | CVE-2022-29238 | 中危 |
| Interactive Python 操作系统命令注入漏洞 | OS命令注入 | MPS-2023-3322 | CVE-2023-24816 | 高危 |
| Tornado 输入验证错误漏洞 | 跨站重定向 | MPS-84aj-mebq | CVE-2023-28370 | 中危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| notebook | 5.7.10 | 6.4.12 | 间接依赖 | 建议修复 |
| ipython | 5.10.0 | 8.10.0 | 间接依赖 | 建议修复 |
| numpy | 1.16.0 | 间接依赖 | 建议修复 | |
| jupyter-core | 4.6.3 | 4.11.2 | 间接依赖 | 建议修复 |
| ipaddress | 1.0.23 | 间接依赖 | 建议修复 | |
| nbconvert | 5.6.1 | 6.3 | 间接依赖 | 可选修复 |
| setuptools | 60 | 65.5.1 | 间接依赖 | 可选修复 |
| mistune | 0.8.4 | 2.0.3 | 间接依赖 | 可选修复 |
| tornado | 5.1.1 | 6.3.2 | 间接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| 自定义许可证 | 30 | 低 |
| MIT | 13 | 低 |
| Apache-2.0 | 5 | 低 |
| BSD-3-Clause | 10 | 低 |
| BSD-2-Clause | 1 | 低 |
| ZPL-2.1 | 1 | 低 |
| ISC | 1 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| jupyter-console | 5.2.0 | 间接依赖 | pip |
| notebook | 5.7.10 | 间接依赖 | pip |
| free | 间接依赖 | pip | |
| webencodings | 0.5.1 | 间接依赖 | pip |
| spamdish | 间接依赖 | pip | |
| find_all | 间接依赖 | pip | |
| pyrsistent | 0.15.7 | 间接依赖 | pip |
| python-dateutil | 2.8.1 | 间接依赖 | pip |
| Main | 间接依赖 | pip | |
| prometheus-client | 0.10.0 | 间接依赖 | pip |
| sphinx | 4.5.0 | 间接依赖 | pip |
| futures | 3.3.0 | 间接依赖 | pip |
| testpath | 0.4.4 | 间接依赖 | pip |
| ipaddress | 1.0.23 | 间接依赖 | pip |
| bleach | 3.3.0 | 间接依赖 | pip |
| sphinx-issues | 3.0.1 | 间接依赖 | pip |
| six | 1.15.0 | 间接依赖 | pip |
| MarkupSafe | 1.1.1 | 间接依赖 | pip |
| cfunc | 间接依赖 | pip | |
| functools32 | 3.2.3.post2 | 间接依赖 | pip |
| entrypoints | 0.3 | 间接依赖 | pip |
| singledispatch | 3.6.1 | 间接依赖 | pip |
| ipywidgets | 7.6.3 | 间接依赖 | pip |
| cython | 间接依赖 | pip | |
| contextlib2 | 0.6.0.post1 | 间接依赖 | pip |
| tornado | 5.1.1 | 间接依赖 | pip |
| Cython | 间接依赖 | pip | |
| pycodestyle | 2.7.0 | 间接依赖 | pip |
| pandocfilters | 1.4.3 | 间接依赖 | pip |
| QtPy | 1.9.0 | 间接依赖 | pip |
| cProfile | 间接依赖 | pip | |
| nbconvert | 5.6.1 | 间接依赖 | pip |
| backports-abc | 0.5 | 间接依赖 | pip |
| scandir | 1.10.0 | 间接依赖 | pip |
| coverage | 5.5 | 间接依赖 | pip |
| terminado | 0.8.3 | 间接依赖 | pip |
| ipython | 5.10.0 | 间接依赖 | pip |
| qtconsole | 4.7.7 | 间接依赖 | pip |
| jupyter-core | 4.6.3 | 间接依赖 | pip |
| ipykernel | 4.10.1 | 间接依赖 | pip |
| pathlib2 | 2.3.5 | 间接依赖 | pip |
| backports.shutil-get-terminal-size | 1.0.0 | 间接依赖 | pip |
| pyzmq | 16.0.4 | 间接依赖 | pip |
| patch | 间接依赖 | pip | |
| Code | 间接依赖 | pip | |
| importlib-metadata | 2.1.1 | 间接依赖 | pip |
| wcwidth | 0.2.5 | 间接依赖 | pip |
| zipp | 1.2.0 | 间接依赖 | pip |
| mistune | 0.8.4 | 间接依赖 | pip |
| configparser | 4.0.2 | 间接依赖 | pip |
| Pygments | 2.5.2 | 间接依赖 | pip |
| pstats | 间接依赖 | pip | |
| jupyter | 1.0.0 | 间接依赖 | pip |
| Send2Trash | 1.5.0 | 间接依赖 | pip |
| numpy | 1.16.0 | 间接依赖 | pip |
| nbformat | 4.4.0 | 间接依赖 | pip |
| prompt-toolkit | 1.0.18 | 间接依赖 | pip |
| jupyter-client | 5.3.5 | 间接依赖 | pip |
| sausage | 间接依赖 | pip | |
| cclass | 间接依赖 | pip | |
| backports.functools-lru-cache | 1.6.3 | 间接依赖 | pip |
| Symtab | 间接依赖 | pip | |
| Jinja2 | 2.11.3 | 间接依赖 | pip |
| simplegeneric | 0.8.1 | 间接依赖 | pip |
| pyparsing | 2.4.7 | 间接依赖 | pip |
| ipython-genutils | 0.2.0 | 间接依赖 | pip |
| ptyprocess | 0.7.0 | 间接依赖 | pip |
| packaging | 20.9 | 间接依赖 | pip |
| UtilityCode | 间接依赖 | pip | |
| malloc | 间接依赖 | pip | |
| attrs | 20.3.0 | 间接依赖 | pip |
| enum34 | 1.1.10 | 间接依赖 | pip |
| sphinx-tabs | 3.4.0 | 间接依赖 | pip |
| traitlets | 4.3.3 | 间接依赖 | pip |
| defusedxml | 0.7.1 | 间接依赖 | pip |
| pexpect | 4.8.0 | 间接依赖 | pip |
| decorator | 4.4.2 | 间接依赖 | pip |
| jsonschema | 3.2.0 | 间接依赖 | pip |
| pickleshare | 0.7.5 | 间接依赖 | pip |
| setuptools | 60 | 间接依赖 | pip |
| widgetsnbextension | 3.5.1 | 间接依赖 | pip |
| mock | 3.0.5 | 间接依赖 | pip |
| Mock | 间接依赖 | pip | |
| find_first | 间接依赖 | pip |