基础信息
项目名称：jupyter/nbviewer
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1719327424831422464/1719327425120829440
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| Certifi 存在数据真实性验证不充分漏洞 | 对数据真实性的验证不充分 | MPS-2022-1918 | CVE-2022-23491 | 中危 |
| Matthäus G. Chajdas pygments 代码问题漏洞 | 任意文件上传 | MPS-2022-57237 | CVE-2022-40896 | 中危 |
| Interactive Python 操作系统命令注入漏洞 | OS命令注入 | MPS-2023-3322 | CVE-2023-24816 | 高危 |
| urllib3 安全漏洞 | MPS-46py-nxai | CVE-2023-45803 | 中危 | |
| Elasticsearch 安全漏洞 | 日志敏感信息泄露 | MPS-5tmh-3n24 | CVE-2023-31417 | 中危 |
| Tornado 输入验证错误漏洞 | 跨站重定向 | MPS-84aj-mebq | CVE-2023-28370 | 中危 |
| Certifi 数据伪造问题漏洞 | 对数据真实性的验证不充分 | MPS-ck78-r6zg | CVE-2023-37920 | 严重 |
| Jupyter Server 跨站脚本漏洞 | 关键功能的认证机制缺失 | MPS-fjqd-5siz | CVE-2023-40170 | 中危 |
| urllib3 HTTP重定向信息泄露漏洞 | 未授权敏感信息泄露 | MPS-s0oy-afbw | CVE-2023-43804 | 高危 |
| Jupyter Server 输入验证错误漏洞 | 跨站重定向 | MPS-t480-cpei | CVE-2023-39968 | 中危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| urllib3 | 1.26.12 | 1.26.18 | 间接依赖 | 建议修复 |
| ipython | 8.6.0 | 8.10.0 | 间接依赖 | 建议修复 |
| certifi | 2022.12.7 | 2023.7.22 | 间接依赖 | 建议修复 |
| jupyter-server | 1.21.0 | 2.7.2 | 间接依赖 | 可选修复 |
| elasticsearch | 8.5.0 | 间接依赖 | 可选修复 | |
| pygments | 2.13.0 | 2.15.0 | 间接依赖 | 可选修复 |
| tornado | 6.2 | 6.3.2 | 间接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| 自定义许可证 | 22 | 低 |
| Apache-2.0 | 7 | 低 |
| MIT | 20 | 低 |
| BSD-3-Clause | 6 | 低 |
| MPL-2.0 | 1 | 低 |
| ISC | 1 | 低 |
| Apache-2.0 OR MIT | 1 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| nbconvert | 7.2.3 | 间接依赖 | pip |
| /srv/nbviewer/requirements-dev.txt | 间接依赖 | pip | |
| packaging | 21.3 | 间接依赖 | pip |
| newrelic | 8.4.0 | 间接依赖 | pip |
| python-dateutil | 2.8.2 | 间接依赖 | pip |
| fastjsonschema | 2.16.2 | 间接依赖 | pip |
| idna | 3.4 | 间接依赖 | pip |
| pyparsing | 3.0.9 | 间接依赖 | pip |
| cffi | 1.15.1 | 间接依赖 | pip |
| prometheus-client | 0.15.0 | 间接依赖 | pip |
| jupyter-core | 4.11.2 | 间接依赖 | pip |
| jsonschema | 4.17.0 | 间接依赖 | pip |
| elastic-transport | 8.4.0 | 间接依赖 | pip |
| pycparser | 2.21 | 间接依赖 | pip |
| pandocfilters | 1.5.0 | 间接依赖 | pip |
| invoke | 0.13.0 | 间接依赖 | pip |
| websocket-client | 1.4.2 | 间接依赖 | pip |
| backcall | 0.2.0 | 间接依赖 | pip |
| jupyter-server | 1.21.0 | 间接依赖 | pip |
| statsd | 4.0.1 | 间接依赖 | pip |
| markupsafe | 2.1.1 | 间接依赖 | pip |
| send2trash | 1.8.0 | 间接依赖 | pip |
| wcwidth | 0.2.5 | 间接依赖 | pip |
| parso | 0.8.3 | 间接依赖 | pip |
| mistune | 2.0.4 | 间接依赖 | pip |
| ptyprocess | 0.7.0 | 间接依赖 | pip |
| pylibmc | 1.6.3 | 间接依赖 | pip |
| argon2-cffi-bindings | 21.2.0 | 间接依赖 | pip |
| anyio | 3.6.2 | 间接依赖 | pip |
| pyrsistent | 0.19.2 | 间接依赖 | pip |
| ipython | 8.6.0 | 间接依赖 | pip |
| certifi | 2022.12.7 | 间接依赖 | pip |
| nbformat | 5.7.0 | 间接依赖 | pip |
| executing | 1.2.0 | 间接依赖 | pip |
| nest-asyncio | 1.5.6 | 间接依赖 | pip |
| tinycss2 | 1.2.1 | 间接依赖 | pip |
| traitlets | 5.5.0 | 间接依赖 | pip |
| decorator | 5.1.1 | 间接依赖 | pip |
| webencodings | 0.5.1 | 间接依赖 | pip |
| matplotlib-inline | 0.1.6 | 间接依赖 | pip |
| defusedxml | 0.7.1 | 间接依赖 | pip |
| jedi | 0.18.1 | 间接依赖 | pip |
| pexpect | 4.8.0 | 间接依赖 | pip |
| pickleshare | 0.7.5 | 间接依赖 | pip |
| jinja2 | 3.1.2 | 间接依赖 | pip |
| urllib3 | 1.26.12 | 间接依赖 | pip |
| jupyter-client | 7.4.4 | 间接依赖 | pip |
| nbclient | 0.7.0 | 间接依赖 | pip |
| asttokens | 2.1.0 | 间接依赖 | pip |
| soupsieve | 2.3.2.post1 | 间接依赖 | pip |
| elasticsearch | 8.5.0 | 间接依赖 | pip |
| prompt-toolkit | 3.0.32 | 间接依赖 | pip |
| jupyterlab-pygments | 0.2.2 | 间接依赖 | pip |
| pycurl | 7.45.1 | 间接依赖 | pip |
| stack-data | 0.6.0 | 间接依赖 | pip |
| jupyter_server | 0.2.0 | 间接依赖 | pip |
| pygments | 2.13.0 | 间接依赖 | pip |
| terminado | 0.17.0 | 间接依赖 | pip |
| attrs | 22.1.0 | 间接依赖 | pip |
| bleach | 5.0.1 | 间接依赖 | pip |
| markdown | 3.1.1 | 间接依赖 | pip |
| beautifulsoup4 | 4.11.1 | 间接依赖 | pip |
| pyzmq | 24.0.1 | 间接依赖 | pip |
| sniffio | 1.3.0 | 间接依赖 | pip |
| entrypoints | 0.4 | 间接依赖 | pip |
| pure-eval | 0.2.2 | 间接依赖 | pip |
| nbviewer | 间接依赖 | pip | |
| tornado | 6.2 | 间接依赖 | pip |
| argon2-cffi | 21.3.0 | 间接依赖 | pip |
| six | 1.16.0 | 间接依赖 | pip |