killbill/killbill 软件分析报告

基础信息

项目名称:killbill/killbill

项目徽章:

Security Status

仓库地址:https://github.com/pterodactyl/panel

检测报告地址:https://www.murphysec.com/console/report/1719461927091748864/1719461927209189376

此报告由Murphysec提供

漏洞列表

漏洞名称 漏洞类型 MPS编号 CVE编号 漏洞等级
Eclipse Jetty 输入验证错误漏洞 拒绝服务 MPS-0e59-bdsi CVE-2023-36478 高危
io.netty:netty-handler 存在证书验证不恰当漏洞 证书验证不恰当 MPS-2022-12067 中危
Eclipse Jetty URI注入漏洞 注入 MPS-2022-18060 CVE-2022-2047 低危
protobuf-java 存在输入验证不当漏洞 拒绝服务 MPS-2022-56472 CVE-2022-3171 中危
pgjdbc 不安全的临时文件 MPS-2022-58583 CVE-2022-41946 中危
FasterXML jackson-databind 小于2.14.0-rc1拒绝服务漏洞 拒绝服务 MPS-2022-58653 CVE-2022-42003 中危
IBM WebSphere Application Server Liberty 存在拒绝服务漏洞 对因果或异常条件的不恰当检查 MPS-2022-59813 CVE-2022-3509 中危
Google protobuf 安全漏洞 拒绝服务 MPS-2022-59814 CVE-2022-3510 高危
Eclipse Jetty 安全漏洞 MPS-49ot-3w07 CVE-2023-40167 中危
snappy-java 输入验证错误漏洞 整数溢出或环绕 MPS-8znw-4jmi CVE-2023-34453 高危
Netty 资源管理错误漏洞 拒绝服务 MPS-9u07-bna1 CVE-2023-34462 中危
snappy-java 的 compress 方法整数溢出漏洞导致拒绝服务 整数溢出或环绕 MPS-angp-mxl2 CVE-2023-34454 中危
Hot Rod 安全漏洞 证书验证不恰当 MPS-b7oj-adm3 CVE-2023-4586 高危
Guava 创建拥有不安全权限的临时文件 MPS-mfku-xzh3 CVE-2023-2976 中危
Snappy 安全漏洞 不加限制或调节的资源分配 MPS-s7wb-p03z CVE-2023-43642 高危
Redisson 代码问题漏洞 反序列化 MPS-t5lb-2zr9 CVE-2023-42809 高危
Snappy 输入验证错误漏洞 不加限制或调节的资源分配 MPS-tnp7-60hk CVE-2023-34455 高危
【存在争议】FasterXML jackson-databind 代码问题漏洞 不加限制或调节的资源分配 MPS-z1bx-p8y2 CVE-2023-35116 中危

缺陷组件

组件名称 版本 最小修复版本 依赖关系 修复建议
com.fasterxml.jackson.core:jackson-databind 2.13.4.2 直接依赖 建议修复
org.xerial.snappy:snappy-java 1.1.8.4 1.1.10.4 直接依赖 建议修复
io.netty:netty-handler 4.1.82.Final 间接依赖 建议修复
org.postgresql:postgresql 42.5.0 42.5.1 间接依赖 可选修复
com.google.guava:guava 31.1-jre 32.0.0-jre 间接依赖 可选修复
org.eclipse.jetty:jetty-http 10.0.15 11.0.16 直接依赖 可选修复
com.google.protobuf:protobuf-java 3.19.4 3.19.6 间接依赖 可选修复
org.redisson:redisson 3.17.7 3.22.0 直接依赖 可选修复

许可证风险

许可证类型 相关组件 许可证风险
Apache-2.0 138
EPL-2.0 17
自定义许可证 19
BSD-3-Clause 4
MPL-2.0 1
EPL-1.0 3
BSD-2-Clause 6
MIT 7
WTFPL 1
LGPL-2.1 3
MIT-0 1
MPL-1.1 1

SBOM清单

组件名称 组件版本 是否直接依赖 仓库
com.google.j2objc:j2objc-annotations 1.3 间接依赖 maven
org.kill-bill.commons:killbill-xmlloader 0.26.1 直接依赖 maven
com.fasterxml.jackson.dataformat:jackson-dataformat-csv 2.13.4 直接依赖 maven
org.glassfish.hk2:guice-bridge 2.6.1 间接依赖 maven
jakarta.servlet:jakarta.servlet-api 4.0.4 直接依赖 maven
org.kill-bill.billing:killbill-platform-osgi-bundles-lib-killbill 0.41.3 直接依赖 maven
org.kill-bill.commons:killbill-automaton 0.26.1 直接依赖 maven
io.netty:netty-handler 4.1.82.Final 间接依赖 maven
org.apache.shiro:shiro-core 1.12.0 直接依赖 maven
jakarta.ws.rs:jakarta.ws.rs-api 2.1.6 直接依赖 maven
com.samskivert:jmustache 1.15 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-invoice 0.27.0 直接依赖 maven
org.kill-bill.commons:killbill-clock 0.26.1 直接依赖 maven
io.dropwizard.metrics:metrics-core 4.2.12 间接依赖 maven
org.owasp.encoder:encoder 1.2.3 间接依赖 maven
com.h2database:h2 2.2.220 间接依赖 maven
org.kill-bill.billing:killbill-api 0.54.0 直接依赖 maven
com.fasterxml.jackson.core:jackson-annotations 2.13.4 直接依赖 maven
org.apache.shiro:shiro-crypto-cipher 1.12.0 间接依赖 maven
org.glassfish.jersey.inject:jersey-hk2 2.39.1 直接依赖 maven
com.fasterxml.jackson.dataformat:jackson-dataformat-yaml 2.13.4 间接依赖 maven
org.jboss.marshalling:jboss-marshalling 2.0.11.Final 间接依赖 maven
com.fasterxml.jackson.datatype:jackson-datatype-joda 2.13.4 直接依赖 maven
com.google.guava:failureaccess 1.0.1 间接依赖 maven
org.eclipse.jetty:jetty-util 10.0.15 直接依赖 maven
javax.cache:cache-api 1.1.1 直接依赖 maven
com.ning:compress-lzf 1.1.2 直接依赖 maven
org.slf4j:slf4j-api 1.7.36 直接依赖 maven
io.netty:netty-transport-native-unix-common 4.1.82.Final 间接依赖 maven
org.reflections:reflections 0.9.11 间接依赖 maven
org.codehaus.janino:janino 3.1.8 直接依赖 maven
org.checkerframework:checker-qual 3.26.0 间接依赖 maven
org.antlr:ST4 4.3.4 直接依赖 maven
org.kill-bill.commons:killbill-concurrent 0.26.1 直接依赖 maven
jakarta.validation:jakarta.validation-api 2.0.2 间接依赖 maven
io.swagger:swagger-annotations 1.6.2 直接依赖 maven
jakarta.activation:jakarta.activation-api 1.2.2 间接依赖 maven
org.joda:joda-money 1.0.3 直接依赖 maven
io.reactivex.rxjava3:rxjava 3.1.5 间接依赖 maven
org.kill-bill.commons:killbill-embeddeddb-mysql 0.26.1 直接依赖 maven
org.kill-bill.billing:killbill-account 0.24.6-SNAPSHOT 直接依赖 maven
jakarta.xml.bind:jakarta.xml.bind-api 2.3.3 直接依赖 maven
org.kill-bill.billing:killbill-currency 0.24.6-SNAPSHOT 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-currency 0.27.0 直接依赖 maven
org.eclipse.jetty:jetty-io 10.0.15 直接依赖 maven
org.glassfish.jaxb:txw2 2.3.6 间接依赖 maven
org.glassfish.jersey.core:jersey-common 2.39.1 直接依赖 maven
org.kill-bill.commons:killbill-queue 0.26.1 直接依赖 maven
org.kill-bill.commons:killbill-locker 0.26.1 直接依赖 maven
org.kill-bill.billing:killbill-jaxrs 0.24.6-SNAPSHOT 直接依赖 maven
org.kill-bill.commons:killbill-utils 0.26.1 直接依赖 maven
io.jsonwebtoken:jjwt-api 0.11.5 直接依赖 maven
org.glassfish.jersey.containers:jersey-container-servlet-core 2.39.1 间接依赖 maven
io.netty:netty-resolver-dns 4.1.82.Final 间接依赖 maven
ch.qos.logback:logback-core 1.2.12 直接依赖 maven
org.kill-bill.commons:killbill-embeddeddb-common 0.26.1 直接依赖 maven
org.kill-bill.billing:killbill-platform-base 0.41.3 直接依赖 maven
org.apache.shiro:shiro-crypto-core 1.12.0 间接依赖 maven
com.google.guava:guava 31.1-jre 间接依赖 maven
org.apache.felix:org.apache.felix.framework 7.0.5 直接依赖 maven
org.kill-bill.billing:killbill-util 0.24.6-SNAPSHOT 直接依赖 maven
org.mariadb.jdbc:mariadb-java-client 3.0.8 直接依赖 maven
org.apache.commons:commons-lang3 3.2.1 间接依赖 maven
org.ehcache:ehcache-clustered 3.9.10 直接依赖 maven
ch.qos.logback:logback-classic 1.2.12 直接依赖 maven
org.kill-bill.billing:killbill-platform-lifecycle 0.41.3 直接依赖 maven
org.eclipse.jetty:jetty-http 10.0.15 直接依赖 maven
com.fasterxml.jackson.core:jackson-core 2.13.4 直接依赖 maven
net.bytebuddy:byte-buddy 1.14.5 间接依赖 maven
org.weakref:jmxutils 1.23 直接依赖 maven
org.osgi:osgi.annotation 8.1.0 间接依赖 maven
org.apache.shiro:shiro-config-ogdl 1.12.0 间接依赖 maven
org.kill-bill.billing:killbill-catalog 0.24.6-SNAPSHOT 直接依赖 maven
org.slf4j:jcl-over-slf4j 1.7.36 直接依赖 maven
org.kill-bill.billing:killbill-invoice 0.24.6-SNAPSHOT 直接依赖 maven
mysql:mysql-connector-java 8.0.30 直接依赖 maven
org.apache.shiro:shiro-cache 1.12.0 间接依赖 maven
org.apache.commons:commons-math3 3.6.1 间接依赖 maven
org.kill-bill.commons:killbill-config-magic 0.26.1 直接依赖 maven
org.kill-bill.commons:killbill-metrics 0.26.1 间接依赖 maven
org.reactivestreams:reactive-streams 1.0.4 间接依赖 maven
org.kill-bill.billing:killbill-usage 0.24.6-SNAPSHOT 直接依赖 maven
io.jsonwebtoken:jjwt-jackson 0.11.5 直接依赖 maven
org.redisson:redisson 3.17.7 直接依赖 maven
io.jsonwebtoken:jjwt-impl 0.11.5 直接依赖 maven
org.glassfish.jersey.core:jersey-server 2.39.1 直接依赖 maven
org.kill-bill.billing:killbill-profiles-killbill 0.24.6-SNAPSHOT 直接依赖 maven
org.javassist:javassist 3.29.2-GA 直接依赖 maven
org.kill-bill.billing:killbill-junction 0.24.6-SNAPSHOT 直接依赖 maven
org.apache.shiro:shiro-guice 1.12.0 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-catalog 0.27.0 直接依赖 maven
jakarta.annotation:jakarta.annotation-api 1.3.5 间接依赖 maven
org.osgi:org.osgi.service.event 1.4.1 间接依赖 maven
com.fasterxml.jackson.module:jackson-module-jaxb-annotations 2.13.4 间接依赖 maven
javax.inject:javax.inject 1 直接依赖 maven
io.swagger:swagger-jaxrs 1.6.2 直接依赖 maven
org.jboss.marshalling:jboss-marshalling-river 2.0.11.Final 间接依赖 maven
com.google.errorprone:error_prone_annotations 2.16 间接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-entitlement 0.27.0 直接依赖 maven
org.osgi:org.osgi.namespace.implementation 1.0.0 间接依赖 maven
joda-time:joda-time 2.12.5 直接依赖 maven
org.xerial.snappy:snappy-java 1.1.8.4 直接依赖 maven
org.kill-bill.billing:killbill-client-java 1.3.3 直接依赖 maven
org.jodd:jodd-bean 5.1.6 间接依赖 maven
org.ehcache.integrations.shiro:shiro-ehcache3 1.0.0 直接依赖 maven
org.kill-bill.billing:killbill-beatrix 0.24.6-SNAPSHOT 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-control 0.27.0 直接依赖 maven
org.yaml:snakeyaml 2.0 间接依赖 maven
io.netty:netty-buffer 4.1.84.Final 直接依赖 maven
commons-collections:commons-collections 3.2.2 间接依赖 maven
org.codehaus.janino:commons-compiler 3.1.8 间接依赖 maven
org.glassfish.hk2:osgi-resource-locator 1.0.3 间接依赖 maven
com.zaxxer:HikariCP 5.0.1 直接依赖 maven
io.netty:netty-codec 4.1.82.Final 间接依赖 maven
org.glassfish.hk2:hk2-utils 2.6.1 间接依赖 maven
org.kill-bill.billing:killbill-overdue 0.24.6-SNAPSHOT 直接依赖 maven
com.google.inject.extensions:guice-multibindings 4.2.3 间接依赖 maven
com.fasterxml:classmate 1.5.1 间接依赖 maven
org.kill-bill.commons:killbill-embeddeddb-postgresql 0.26.1 直接依赖 maven
org.bgee.log4jdbc-log4j2:log4jdbc-log4j2-jdbc4 1.16 直接依赖 maven
org.kill-bill.billing:killbill-platform-server 0.41.3 直接依赖 maven
com.fasterxml.jackson.jaxrs:jackson-jaxrs-base 2.13.4 间接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-payment 0.27.0 直接依赖 maven
aopalliance:aopalliance 1.0 直接依赖 maven
org.eclipse.jetty:jetty-server 10.0.15 直接依赖 maven
org.apache.shiro:shiro-config-core 1.12.0 间接依赖 maven
io.netty:netty-codec-dns 4.1.82.Final 间接依赖 maven
org.glassfish.jersey.core:jersey-client 2.39.1 间接依赖 maven
org.apache.shiro:shiro-web 1.12.0 直接依赖 maven
org.glassfish.hk2:hk2-locator 2.6.1 间接依赖 maven
org.ehcache:ehcache 3.9.10 直接依赖 maven
io.projectreactor:reactor-core 3.4.18 间接依赖 maven
com.github.spotbugs:spotbugs-annotations 4.7.2 间接依赖 maven
org.kill-bill.billing:killbill-platform-osgi-api 0.41.3 直接依赖 maven
org.kill-bill.billing:killbill-platform-api 0.41.3 直接依赖 maven
antlr:antlr 2.7.7 间接依赖 maven
org.osgi:org.osgi.service.log 1.5.0 间接依赖 maven
org.kill-bill.billing:killbill-platform-osgi 0.41.3 直接依赖 maven
org.glassfish.jaxb:jaxb-runtime 2.3.6 间接依赖 maven
org.slf4j:jul-to-slf4j 1.7.36 间接依赖 maven
org.codehaus.mojo:animal-sniffer-annotations 1.22 间接依赖 maven
org.kill-bill.commons:killbill-embeddeddb-h2 0.26.1 直接依赖 maven
io.swagger:swagger-models 1.6.2 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-notification 0.27.0 直接依赖 maven
org.kill-bill.billing.plugin:killbill-plugin-api-usage 0.27.0 直接依赖 maven
org.kill-bill.billing:killbill-payment 0.24.6-SNAPSHOT 直接依赖 maven
com.fasterxml.jackson.dataformat:jackson-dataformat-smile 2.13.4 直接依赖 maven
org.apache.shiro:shiro-event 1.12.0 间接依赖 maven
org.jodd:jodd-core 5.1.6 间接依赖 maven
com.google.protobuf:protobuf-java 3.19.4 间接依赖 maven
org.apache.shiro:shiro-crypto-hash 1.12.0 间接依赖 maven
org.kill-bill.commons:killbill-jdbi 0.26.1 直接依赖 maven
org.kill-bill.commons:killbill-skeleton 0.26.1 直接依赖 maven
org.postgresql:postgresql 42.5.0 间接依赖 maven
org.apache.shiro:shiro-lang 1.12.0 间接依赖 maven
com.google.inject.extensions:guice-servlet 5.1.0 直接依赖 maven
org.kill-bill.billing:killbill-tenant 0.24.6-SNAPSHOT 直接依赖 maven
org.jasypt:jasypt 1.9.3 间接依赖 maven
commons-beanutils:commons-beanutils 1.9.4 间接依赖 maven
org.kill-bill.billing:killbill-internal-api 0.24.6-SNAPSHOT 直接依赖 maven
com.fasterxml.jackson.core:jackson-databind 2.13.4.2 直接依赖 maven
org.kill-bill.billing:killbill-entitlement 0.24.6-SNAPSHOT 直接依赖 maven
com.google.inject:guice 5.1.0 直接依赖 maven
io.netty:netty-transport 4.1.82.Final 间接依赖 maven
com.fasterxml.jackson.jaxrs:jackson-jaxrs-json-provider 2.13.4 直接依赖 maven
org.antlr:antlr-runtime 3.5.3 间接依赖 maven
com.sun.istack:istack-commons-runtime 3.0.12 间接依赖 maven
io.netty:netty-resolver 4.1.82.Final 间接依赖 maven
org.kill-bill.commons:killbill-metrics-api 0.26.1 直接依赖 maven
org.antlr:stringtemplate 3.2.1 间接依赖 maven
org.kill-bill.billing:killbill-subscription 0.24.6-SNAPSHOT 直接依赖 maven
com.google.code.findbugs:jsr305 3.0.2 直接依赖 maven
io.netty:netty-common 4.1.84.Final 间接依赖 maven
io.swagger:swagger-core 1.6.2 间接依赖 maven
org.glassfish.hk2:hk2-api 2.6.1 间接依赖 maven
org.osgi:org.osgi.service.http 1.2.2 间接依赖 maven
(0)
上一篇 2023年11月1日
下一篇 2023年11月1日

相关推荐

  • ChenYCL/chrome-extension-udemy-translate 软件分析报告

    基础信息 项目名称:ChenYCL/chrome-extension-udemy-translate 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1716644320006242304/1722341510712…

    软件分析 2023年11月9日
    0
  • aspecto-io/opentelemetry-ext-js 软件分析报告

    基础信息 项目名称:aspecto-io/opentelemetry-ext-js 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1716085748649476096/1716085750390112256 此报…

    软件分析 2023年10月23日
    0
  • YunDingLab/fix_log4j2 软件分析报告

    基础信息 项目名称:YunDingLab/fix_log4j2 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1721680018379677696/1721680018480340992 此报告由Murphyse…

    软件分析 2023年11月7日
    0
  • internetarchive/heritrix3 软件分析报告

    基础信息 项目名称:internetarchive/heritrix3 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1721280818357030912/1726644046641713152 此报告由Murp…

    软件分析 2023年11月21日
    0
  • jjonline/calendar.js 软件分析报告

    基础信息 项目名称:jjonline/calendar.js 项目徽章: 仓库地址:https://github.com/pterodactyl/panel 检测报告地址:https://www.murphysec.com/console/report/1719164529123573760/1719164529392009216 此报告由Murphysec…

    软件分析 2023年10月31日
    0