zhangwei5095/utmost 软件分析报告

2023年11月3日下午5:36 • 软件分析

目录隐藏

4 许可证风险

基础信息

项目名称：zhangwei5095/utmost

项目徽章：

仓库地址：https://github.com/pterodactyl/panel

检测报告地址：https://www.murphysec.com/console/report/1720371594473672705/1720371603961188352

此报告由Murphysec提供

漏洞列表

漏洞名称	漏洞类型	MPS编号	CVE编号	漏洞等级
Bouncycastle OpenSSL畸形ASN.1结构处理拒绝服务漏洞	输入验证不恰当	MPS-2009-1655	CVE-2007-6721	严重
Spring Framework 正则表达式拒绝服务漏洞	资源管理错误	MPS-2009-2202	CVE-2009-1190	中危
Spring Framework表达式语言JSP属性处理信息泄露漏洞	配置缺陷	MPS-2012-5092	CVE-2011-2730	高危
多款Cisco产品Apache Commons Collections库任意代码执行漏洞	反序列化	MPS-2015-6277	CVE-2015-6420	高危
多款Red Hat产品代码问题漏洞	反序列化	MPS-2017-12638	CVE-2015-7501	严重
c3p0 存在 XXE 漏洞	XXE	MPS-2018-16252	CVE-2018-20433	严重
Apache Commons Beanutils 存在不可信数据的反序列化漏洞	反序列化	MPS-2019-10233	CVE-2019-10086	高危
hibernate-validator 存在跨站脚本（XSS）漏洞	XSS	MPS-2019-14389	CVE-2019-10219	中危
Apache Log4j SocketServer反序列化漏洞	反序列化	MPS-2019-17271	CVE-2019-17571	严重
c3p0 存在拒绝服务漏洞	XML实体扩展	MPS-2019-4274	CVE-2019-5427	高危
hibernate-core	SQL注入	MPS-2020-16768	CVE-2020-25638	高危
Apache Log4j2 SmtpAppender证书验证不当漏洞	证书验证不恰当	MPS-2020-6684	CVE-2020-9488	低危
dom4j SaxReader函数存在 XXE 漏洞	XXE	MPS-2020-6967	CVE-2020-10683	严重
hibernate-validator 存在输入验证错误漏洞	代码注入	MPS-2020-7077	CVE-2020-10693	中危
Hibernate 存在 SQL 注入漏洞	SQL注入	MPS-2020-9908	CVE-2019-14900	中危
Spring Framework	日志输出的转义处理不恰当	MPS-2021-18854	CVE-2021-22060	中危
Pivotal Spring Framework 日志注入漏洞	日志输出的转义处理不恰当	MPS-2021-18890	CVE-2021-22096	中危
Apache Log4j JMSAppender反序列化漏洞	反序列化	MPS-2021-38359	CVE-2021-4104	高危
JDOM 存在 XXE 注入漏洞	XXE	MPS-2021-8350	CVE-2021-33813	高危
Pivotal Spring Framework 安全限制绕过漏洞	大小写敏感处理不恰当	MPS-2022-1098	CVE-2022-22968	中危
Spring Framework spring-beans 存在拒绝服务漏洞	不加限制或调节的资源分配	MPS-2022-1101	CVE-2022-22970	中危
commons-codec:commons-codec 存在信息泄露漏洞	未授权敏感信息泄露	MPS-2022-11853		低危
Apache Commons Collections 远程代码执行漏洞	反序列化	MPS-2022-12767		高危
Apache Log4j JDBCAppender SQL注入漏洞	SQL注入	MPS-2022-1444	CVE-2022-23305	严重
Apache Log4j Chainsaw反序列化漏洞	反序列化	MPS-2022-1445	CVE-2022-23307	高危
Apache Log4j 反序列化漏洞	反序列化	MPS-2022-1446	CVE-2022-23302	高危
Apache XercesJ	XPath盲注	MPS-2022-1864	CVE-2022-23437	中危
Jettison	拒绝服务	MPS-2022-57067	CVE-2022-40150	高危
Jettison	越界写入	MPS-2022-57068	CVE-2022-40149	高危
Jettison	越界写入	MPS-2022-64973	CVE-2022-45685	高危
spring-beans 远程代码执行漏洞(Spring4Shell)	表达式语言注入	MPS-2022-6820	CVE-2022-22965	严重
Jettison 安全漏洞	未经控制的递归	MPS-2023-8270	CVE-2023-1436	高危

缺陷组件

组件名称	版本	最小修复版本	依赖关系	修复建议
bouncycastle:bcprov-jdk14	136	138	间接依赖	建议修复
org.springframework:spring-context	2.0.8	5.2.21.RELEASE	直接依赖	建议修复
log4j:log4j	1.2.13		直接依赖	建议修复
org.hibernate:hibernate-core	3.3.1.GA	5.4.24.Final	直接依赖	建议修复
org.springframework:spring-beans	2.0.8	5.2.22.RELEASE	间接依赖	建议修复
commons-collections:commons-collections	3.1	3.2.2	直接依赖	建议修复
c3p0:c3p0	0.9.1		直接依赖	建议修复
dom4j:dom4j	1.6.1		直接依赖	建议修复
commons-beanutils:commons-beanutils	1.7.0	1.9.4	直接依赖	建议修复
org.springframework:spring-core	2.0.8	5.2.23.RELEASE	直接依赖	建议修复
commons-collections:commons-collections	3.2	3.2.2	直接依赖	建议修复
org.codehaus.jettison:jettison	1.0.1	1.5.4	直接依赖	建议修复
log4j:log4j	1.2.14		直接依赖	建议修复
org.hibernate:hibernate-validator	3.0.0.GA	6.0.19.Final	直接依赖	可选修复
commons-codec:commons-codec	1.3	1.13	直接依赖	可选修复
org.jdom:jdom	1.1		直接依赖	可选修复
xerces:xercesImpl	2.8.1	2.12.2	直接依赖	可选修复
xerces:xercesImpl	2.6.2	2.12.2	间接依赖	可选修复
org.springframework:spring-aop	2.0.8	2.5.6.SEC01	直接依赖	可选修复

许可证风险

许可证类型	相关组件	许可证风险
Apache-2.0	29	低
MIT	4	低
自定义许可证	22	低
LGPL-2.1	3	中

SBOM清单

组件名称	组件版本	是否直接依赖	仓库
java		间接依赖	pip
stax:stax	1.2.0	直接依赖	maven
org.springframework:spring-context	2.0.8	直接依赖	maven
org.slf4j:slf4j-api	1.3.1	直接依赖	maven
opensymphony:oscache	2.1	直接依赖	maven
KERNEL32.dll		间接依赖
org.codehaus.woodstox:wstx-asl	3.2.7	直接依赖	maven
concurrent:concurrent	1.3.4	直接依赖	maven
commons-collections:commons-collections	3.2	直接依赖	maven
javax.transaction:jta	1.1	直接依赖	maven
commons-beanutils:commons-beanutils	1.7.0	直接依赖	maven
jfree:jcommon	1.0.12	间接依赖	maven
USER32.dll		间接依赖
org.jboss:jboss-common-core	2.2.3.GA	间接依赖	maven
jboss:jboss-minimal	4.0.2	直接依赖	maven
org		间接依赖	pip
VERSION.dll		间接依赖
jgroups:jgroups	2.6.2	间接依赖	maven
commons-digester:commons-digester	2.1	间接依赖	maven
net.sourceforge:barbecue	1.1	直接依赖	maven
org.hibernate:hibernate-core	3.3.1.GA	直接依赖	maven
${groupId}:hibernate-core		直接依赖	maven
ole32.dll		间接依赖
commons-logging:commons-logging	1.1.1	直接依赖	maven
org.jdom:jdom	1.1	直接依赖	maven
org.mortbay.jetty:servlet-api	2.5-20081211	直接依赖	maven
SHELL32.dll		间接依赖
dom4j:dom4j	1.6.1	直接依赖	maven
eclipse:jdtcore	3.2.0.v_658	间接依赖	maven
org.hibernate:hibernate-cglib-repack	2.1_3	直接依赖	maven
xerces:xercesImpl	2.6.2	间接依赖	maven
xml-apis:xml-apis	1.0.b2	间接依赖	maven
org.springframework:spring-support	2.0.8	直接依赖	maven
org.jboss.javaee:jboss-javaee	5.0.0.Beta3	间接依赖	maven
jboss:jboss-cache	1.4.1.GA	直接依赖	maven
commons-logging:commons-logging	1.0.4	间接依赖	maven
javax.persistence:persistence-api	1.0	直接依赖	maven
stax:stax-api	1.0.1	直接依赖	maven
net.sf.scannotation:scannotation	1.0.2	直接依赖	maven
swarmcache:swarmcache	1.0RC2	直接依赖	maven
ADVAPI32.dll		间接依赖
NETAPI32.dll		间接依赖
jboss:jboss-j2se	200504122039	直接依赖	maven
aopalliance:aopalliance	1.0	间接依赖	maven
xerces:xercesImpl	2.8.1	直接依赖	maven
org.hibernate:hibernate-validator	3.0.0.GA	直接依赖	maven
cglib:cglib-nodep	2.2	直接依赖	maven
javassist:javassist	3.4.GA	直接依赖	maven
commons-logging:commons-logging	1.0.3	间接依赖	maven
joda-time:joda-time	1.6	直接依赖	maven
pdh.dll		间接依赖
org.codehaus.jettison:jettison	1.0.1	直接依赖	maven
com.lowagie:itext	2.1.0	间接依赖	maven
jboss:jboss-common	4.0.2	直接依赖	maven
jfree:jfreechart	1.0.9	间接依赖	maven
net.sf.ehcache:ehcache	1.2.3	直接依赖	maven
org.slf4j:slf4j-log4j12	1.4.2	直接依赖	maven
org.springframework:spring-aop	2.0.8	直接依赖	maven
org.jboss.cache:jbosscache-core	2.1.1.GA	直接依赖	maven
org.mortbay.jetty:jetty-util	6.1.18	直接依赖	maven
bouncycastle:bcmail-jdk14	136	间接依赖	maven
bouncycastle:bcprov-jdk14	136	间接依赖	maven
org.slf4j:slf4j-api	1.5.0	直接依赖	maven
slide:webdavlib	2.0	间接依赖	maven
log4j:log4j	1.2.13	直接依赖	maven
antlr:antlr	2.7.6	直接依赖	maven
commons-collections:commons-collections	3.1	直接依赖	maven
jboss:jboss-common-logging-spi	2.0.4.GA	间接依赖	maven
org.slf4j:slf4j-api	1.5.2	直接依赖	maven
org.hibernate:hibernate-annotations	3.3.0.ga	直接依赖	maven
xml-apis:xml-apis	1.3.04	直接依赖	maven
c3p0:c3p0	0.9.1	直接依赖	maven
org.hibernate:hibernate-commons-annotations	3.3.0.ga	直接依赖	maven
jgroups:jgroups-all	2.2.7	直接依赖	maven
org.springframework:spring-core	2.0.8	直接依赖	maven
proxool:proxool	0.8.3	直接依赖	maven
xpp3:xpp3_min	1.1.4c	直接依赖	maven
org.springframework:spring-beans	2.0.8	间接依赖	maven
xml-apis:xml-apis	1.3.02	间接依赖	maven
xom:xom	1.1	直接依赖	maven
log4j:log4j	1.2.14	直接依赖	maven
jasperreports:jasperreports	3.1.0	直接依赖	maven
jgroups:jgroups-all	2.2.8	间接依赖	maven
commons-codec:commons-codec	1.3	直接依赖	maven
jboss:jboss-system	4.0.2	直接依赖	maven

SBOM 开源软件漏洞

赞 (0)

zhangtaii/react-native-google-place-picker 软件分析报告

上一篇 2023年11月3日

zhanjiarong/JRSegmentControl 软件分析报告

下一篇 2023年11月3日

CEWendel/SWNavigationController 软件分析报告

基础信息项目名称：CEWendel/SWNavigationController 项目徽章：仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1716613901504348160/1716613901764395008 此报…

软件分析 2023年10月24日
00
apache/openmeetings 软件分析报告

基础信息项目名称：apache/openmeetings 项目徽章：仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1715934375803748352/1715934375849885696 此报告由Murphysec提…

软件分析 2023年10月23日
00
directus/directus 软件分析报告

基础信息项目名称：directus/directus 项目徽章：仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1721135570532503552/1725766013550546944 此报告由Murphysec提供 …

软件分析 2023年11月18日
00
fly2wind/TSEmojiView 软件分析报告

基础信息项目名称：fly2wind/TSEmojiView 项目徽章：仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1717908095975079936/1717908097346617344 此报告由Murphysec…

软件分析 2023年10月27日
00
dmcblue/php-mastodon-rss-to-bot-stateless 软件分析报告

基础信息项目名称：dmcblue/php-mastodon-rss-to-bot-stateless 项目徽章：仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1721137679944384512/172272381290…

软件分析 2023年11月10日
00