hs-web/hsweb-framework 软件分析报告

基础信息

项目名称:hs-web/hsweb-framework

项目徽章:

Security Status

仓库地址:https://github.com/pterodactyl/panel

检测报告地址:https://www.murphysec.com/console/report/1718671559572111360/1718671559614054400

此报告由Murphysec提供

漏洞列表

漏洞名称 漏洞类型 MPS编号 CVE编号 漏洞等级
Spring Framework 反序列化 MPS-2020-0057 CVE-2016-1000027 严重
snakeYAML 拒绝服务 MPS-2022-5144 CVE-2022-25857 高危
snakeYAML 栈缓冲区溢出 MPS-2022-56040 CVE-2022-38751 中危
snakeYAML 栈缓冲区溢出 MPS-2022-56041 CVE-2022-38752 低危
snakeYAML 栈缓冲区溢出 MPS-2022-56051 CVE-2022-38750 中危
snakeYAML 拒绝服务 MPS-2022-56081 CVE-2022-38749 中危
SnakeYAML 栈缓冲区溢出 MPS-2022-58478 CVE-2022-41854 中危
FasterXML jackson-databind 小于2.14.0-rc1拒绝服务漏洞 拒绝服务 MPS-2022-58653 CVE-2022-42003 中危
Spring Boot 欢迎页功能拒绝服务风险 拒绝服务 MPS-2022-62855 CVE-2023-20883 高危
snakeYAML 反序列化 MPS-2022-9425 CVE-2022-1471 高危
【存在争议】FasterXML jackson-databind 代码问题漏洞 不加限制或调节的资源分配 MPS-z1bx-p8y2 CVE-2023-35116 中危

缺陷组件

组件名称 版本 最小修复版本 依赖关系 修复建议
org.yaml:snakeyaml 1.30 2.0 间接依赖 建议修复
org.springframework:spring-web 5.3.27 6.0.0 直接依赖 建议修复
com.fasterxml.jackson.core:jackson-databind 2.13.5 直接依赖 建议修复
org.springframework.boot:spring-boot-autoconfigure 2.7.11 2.7.12 直接依赖 可选修复

许可证风险

许可证类型 相关组件 许可证风险
Apache-2.0 79
MIT 5
EPL-2.0 4
自定义许可证 8
MIT-0 1
EPL-1.0 1
LGPL-2.1 1
MPL-1.1 1

SBOM清单

组件名称 组件版本 是否直接依赖 仓库
commons-collections:commons-collections 3.2.2 间接依赖 maven
org.springframework.boot:spring-boot-configuration-processor 2.7.11 直接依赖 maven
org.checkerframework:checker-qual 2.10.0 间接依赖 maven
org.apache.commons:commons-collections4 4.4 间接依赖 maven
com.google.errorprone:error_prone_annotations 2.3.3 间接依赖 maven
org.springframework.data:spring-data-redis 2.7.11 直接依赖 maven
org.springframework:spring-beans 5.3.27 间接依赖 maven
org.springframework:spring-oxm 5.3.27 间接依赖 maven
jakarta.transaction:jakarta.transaction-api 1.3.3 间接依赖 maven
org.jctools:jctools-core 4.0.1 直接依赖 maven
com.google.guava:guava 32.0.0-jre 直接依赖 maven
com.google.j2objc:j2objc-annotations 2.8 间接依赖 maven
com.alibaba:fastjson 1.2.83 直接依赖 maven
com.fasterxml.jackson.core:jackson-annotations 2.13.5 间接依赖 maven
org.hswebframework.web:hsweb-system-authorization-api 4.0.17-SNAPSHOT 直接依赖 maven
org.slf4j:jul-to-slf4j 1.7.36 间接依赖 maven
com.atomikos:atomikos-util 4.0.6 间接依赖 maven
com.atomikos:transactions-jms 4.0.6 间接依赖 maven
org.springframework:spring-expression 5.3.27 间接依赖 maven
org.springframework.boot:spring-boot-starter-logging 2.7.11 间接依赖 maven
com.atomikos:transactions 4.0.6 间接依赖 maven
com.fasterxml.jackson.core:jackson-core 2.13.5 间接依赖 maven
org.springframework.boot:spring-boot-autoconfigure 2.7.11 直接依赖 maven
com.google.code.findbugs:jsr305 3.0.2 直接依赖 maven
org.hswebframework.web:hsweb-authorization-api 4.0.17-SNAPSHOT 直接依赖 maven
org.springframework.boot:spring-boot 2.7.11 间接依赖 maven
org.hswebframework:hsweb-easy-orm-core 4.1.1 间接依赖 maven
org.springframework:spring-jcl 5.3.27 间接依赖 maven
org.springframework:spring-context-support 5.3.27 间接依赖 maven
org.springframework:spring-jdbc 5.3.27 直接依赖 maven
com.atomikos:transactions-jdbc 4.0.6 间接依赖 maven
org.springframework.boot:spring-boot-starter-jta-atomikos 2.7.11 直接依赖 maven
jakarta.annotation:jakarta.annotation-api 1.3.5 间接依赖 maven
org.springframework.data:spring-data-commons 2.7.11 间接依赖 maven
jakarta.validation:jakarta.validation-api 2.0.2 间接依赖 maven
org.springframework:spring-core 5.3.27 间接依赖 maven
org.springframework:spring-web 5.3.27 直接依赖 maven
commons-beanutils:commons-beanutils 1.9.4 直接依赖 maven
org.springframework.data:spring-data-keyvalue 2.7.11 间接依赖 maven
org.hswebframework:hsweb-expands-script 3.0.2 直接依赖 maven
org.springframework:spring-tx 5.3.27 直接依赖 maven
com.github.ben-manes.caffeine:caffeine 2.8.0 直接依赖 maven
org.springframework:spring-aspects 5.3.27 直接依赖 maven
joda-time:joda-time 2.7 间接依赖 maven
org.hswebframework:hsweb-easy-orm-rdb 4.1.1 直接依赖 maven
io.projectreactor.addons:reactor-extra 3.4.10 直接依赖 maven
org.springframework.boot:spring-boot-starter-aop 2.7.11 直接依赖 maven
org.springframework.data:spring-data-r2dbc 1.5.11 直接依赖 maven
org.glassfish:jakarta.el 3.0.4 直接依赖 maven
io.swagger:swagger-annotations 1.5.10 直接依赖 maven
org.reactivestreams:reactive-streams 1.0.4 间接依赖 maven
org.springframework:spring-r2dbc 5.3.27 间接依赖 maven
com.atomikos:transactions-api 4.0.6 间接依赖 maven
org.springframework:spring-context-indexer 5.3.27 直接依赖 maven
com.fasterxml.jackson.core:jackson-databind 2.13.5 直接依赖 maven
org.jboss.logging:jboss-logging 3.4.3.Final 间接依赖 maven
org.hswebframework.web:hsweb-authorization-oauth2 4.0.17-SNAPSHOT 直接依赖 maven
javax.servlet:javax.servlet-api 4.0.1 直接依赖 maven
org.slf4j:slf4j-api 1.7.36 直接依赖 maven
com.atomikos:transactions-jta 4.0.6 间接依赖 maven
commons-codec:commons-codec 1.15 直接依赖 maven
com.google.errorprone:error_prone_annotations 2.18.0 间接依赖 maven
io.netty:netty-common 4.1.91.Final 直接依赖 maven
org.hswebframework.web:hsweb-concurrent-cache 4.0.17-SNAPSHOT 直接依赖 maven
org.apache.logging.log4j:log4j-api 2.17.2 间接依赖 maven
com.google.guava:listenablefuture 9999.0-empty-to-avoid-conflict-with-guava 间接依赖 maven
javax.validation:validation-api 2.0.1.Final 直接依赖 maven
org.springframework:spring-webflux 5.3.27 直接依赖 maven
org.springframework.boot:spring-boot-starter 2.7.11 直接依赖 maven
org.aspectj:aspectjweaver 1.9.7 直接依赖 maven
org.hibernate.javax.persistence:hibernate-jpa-2.1-api 1.0.2.Final 直接依赖 maven
com.github.jsqlparser:jsqlparser 4.6 直接依赖 maven
org.hswebframework:hsweb-utils 3.0.2 直接依赖 maven
org.springframework:spring-context 5.3.27 直接依赖 maven
org.hswebframework.web:hsweb-datasource-api 4.0.17-SNAPSHOT 直接依赖 maven
io.r2dbc:r2dbc-spi 0.9.1.RELEASE 直接依赖 maven
org.hswebframework.web:hsweb-access-logging-api 4.0.17-SNAPSHOT 直接依赖 maven
org.springframework:spring-webmvc 5.3.27 直接依赖 maven
org.springframework:spring-aop 5.3.27 直接依赖 maven
io.swagger.core.v3:swagger-annotations 2.1.4 直接依赖 maven
com.google.guava:failureaccess 1.0.1 间接依赖 maven
org.hswebframework.web:hsweb-commons-api 4.0.17-SNAPSHOT 直接依赖 maven
org.yaml:snakeyaml 1.30 间接依赖 maven
org.springframework.data:spring-data-relational 2.4.11 间接依赖 maven
org.hswebframework:hsweb-expands-security 3.0.2 间接依赖 maven
org.apache.logging.log4j:log4j-to-slf4j 2.17.2 间接依赖 maven
io.seruco.encoding:base62 0.1.3 直接依赖 maven
org.hswebframework.web:hsweb-commons-crud 4.0.17-SNAPSHOT 直接依赖 maven
org.hswebframework.web:hsweb-authorization-basic 4.0.17-SNAPSHOT 直接依赖 maven
org.checkerframework:checker-qual 3.33.0 间接依赖 maven
org.hswebframework.web:hsweb-core 4.0.17-SNAPSHOT 直接依赖 maven
org.hibernate.validator:hibernate-validator 6.2.5.Final 直接依赖 maven
com.fasterxml:classmate 1.5.1 间接依赖 maven
commons-logging:commons-logging 1.2 间接依赖 maven
org.javassist:javassist 3.29.0-GA 直接依赖 maven
io.projectreactor:reactor-core 3.4.29 直接依赖 maven
org.codehaus.groovy:groovy-all 2.4.15 直接依赖 maven
(0)
上一篇 2023年10月30日
下一篇 2023年10月30日

相关推荐

  • khalidabuhakmeh/WhatRoute 软件分析报告

    基础信息 项目名称:khalidabuhakmeh/WhatRoute 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1719452448551911424/1719452448669351936 此报告由Murp…

    软件分析 2023年11月1日
    0
  • aaron-elkins/YahooClassicalButton 软件分析报告

    基础信息 项目名称:aaron-elkins/YahooClassicalButton 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1715488973019283456/1715488973061226496 …

    软件分析 2023年10月23日
    0
  • arthurgregorio/web-budget 软件分析报告

    基础信息 项目名称:arthurgregorio/web-budget 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1716050090828546048/1716050091067621376 此报告由Murp…

    软件分析 2023年10月23日
    0
  • cloudinsight/cloudinsight-agent 软件分析报告

    基础信息 项目名称:cloudinsight/cloudinsight-agent 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1721094119824101376/1722381614539444224 此报…

    软件分析 2023年11月9日
    0
  • worstcase/blockade 软件分析报告

    基础信息 项目名称:worstcase/blockade 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1721453302390546432/1721453302570901504 此报告由Murphysec提供…

    软件分析 2023年11月6日
    0