1. 墨知首页
  2. 软件分析

wuweiit/mushroom 软件分析报告

• 软件分析
目录 隐藏
1 基础信息
2 漏洞列表
3 缺陷组件
4 许可证风险
5 SBOM清单

基础信息

项目名称：wuweiit/mushroom

项目徽章：

Security Status

仓库地址：https://github.com/pterodactyl/panel

检测报告地址：https://www.murphysec.com/console/report/1721489761881382912/1721489762003017728

此报告由Murphysec提供

漏洞列表

漏洞名称 漏洞类型 MPS编号 CVE编号 漏洞等级
Oracle MySQL Connectors组件SQL注入漏洞 SQL注入 MPS-2015-2026 CVE-2015-2575 中危
Apache Tomcat 拒绝服务漏洞 输入验证不恰当 MPS-2016-3232 CVE-2016-3092 高危
Apache Commons FileUpload 访问控制错误漏洞 访问控制不当 MPS-2016-5301 CVE-2016-1000031 严重
Oracle MySQL Connectors 访问限制绕过漏洞 访问控制不当 MPS-2017-4684 CVE-2017-3523 高危
Oracle MySQL Connectors 安全漏洞 访问控制不当 MPS-2017-4744 CVE-2017-3586 中危
Oracle MySQL Connectors 安全漏洞 访问控制不当 MPS-2017-4746 CVE-2017-3589 低危
Apache Groovy 远程代码执行漏洞 反序列化 MPS-2018-0875 CVE-2016-6814 严重
Oracle MySQL Connectors 访问控制错误漏洞 使用候选路径或通道进行的认证绕过 MPS-2018-13771 CVE-2018-3258 高危
c3p0 存在 XXE 漏洞 XXE MPS-2018-16252 CVE-2018-20433 严重
Fastjson 1.2.25-1.2.43版本远程代码执行漏洞 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2018-27009 严重
Fastjson 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2018-27010 严重
Fastjson 1.2.25-1.2.47版本远程代码执行漏洞 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2018-27011 严重
Spring Data Commons 代码注入 MPS-2018-4454 CVE-2018-1273 严重
Spring Data Commons 无限制的资源分配漏洞 不加限制或调节的资源分配 MPS-2018-5028 CVE-2018-1274 高危
SnakeYAML 拒绝服务 MPS-2019-16129 CVE-2017-18640 高危
Fastjson 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2019-28847 严重
Fastjson 拒绝服务 MPS-2019-28848 严重
c3p0 存在拒绝服务漏洞 XML实体扩展 MPS-2019-4274 CVE-2019-5427 高危
Oracle MySQL Connectors 输入验证错误漏洞 使用不兼容类型访问资源（类型混淆） MPS-2019-4430 CVE-2019-2692 中危
Spring Framework 反序列化 MPS-2020-0057 CVE-2016-1000027 严重
Pivotal Spring Framework 下载代码缺少完整性检查 MPS-2020-0902 CVE-2020-5398 高危
Pivotal Spring Framework 反射文件下载 (RFD) 漏洞 路径遍历 MPS-2020-13322 CVE-2020-5421 中危
Apache Groovy 临时目录信息泄露漏洞 缺省权限不正确 MPS-2020-17573 CVE-2020-17521 中危
mysql:mysql-connector-java XXE MPS-2020-38350 CVE-2021-2471 中危
Fastjson 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2020-39708 严重
Fastjson 反序列化 MPS-2020-40828 高危
Apache Ant 临时文件不安全问题 将资源暴露给错误范围 MPS-2020-7418 CVE-2020-1945 中危
jsoup 不可达退出条件的循环（无限循环） MPS-2021-17634 CVE-2021-37714 高危
Spring Framework 日志输出的转义处理不恰当 MPS-2021-18854 CVE-2021-22060 中危
Pivotal Spring Framework 日志注入漏洞 日志输出的转义处理不恰当 MPS-2021-18890 CVE-2021-22096 中危
Alibaba Druid 目录遍历漏洞 路径遍历 MPS-2021-25327 CVE-2021-33800 高危
Quality Open Software logback JNDI注入漏洞 反序列化 MPS-2021-33911 CVE-2021-42550 中危
Oracle MySQL 的 MySQL Connectors 存在授权不当漏洞 授权机制不恰当 MPS-2021-36587 CVE-2022-21363 中危
Apache Commons IO 存在路径遍历漏洞 路径遍历 MPS-2021-4531 CVE-2021-29425 中危
Spring Framework权限许可和访问控制问题漏洞 权限管理不当 MPS-2021-7485 CVE-2021-22118 高危
Apache Ant 拒绝服务漏洞 长度参数不一致性处理不恰当 MPS-2021-9827 CVE-2021-36373 中危
Apache Ant 拒绝服务漏洞 长度参数不一致性处理不恰当 MPS-2021-9847 CVE-2021-36374 中危
Vmware Spring Framework 安全漏洞 不加限制或调节的资源分配 MPS-2022-1080 CVE-2022-22950 中危
Pivotal Spring Framework 安全限制绕过漏洞 大小写敏感处理不恰当 MPS-2022-1098 CVE-2022-22968 中危
Spring Framework spring-beans 存在拒绝服务漏洞 不加限制或调节的资源分配 MPS-2022-1101 CVE-2022-22970 中危
Spring Data MongoDB SpEL 表达式注入漏洞 表达式语言注入 MPS-2022-1110 CVE-2022-22980 高危
Fastjson 反序列化 MPS-2022-11320 CVE-2022-25845 高危
commons-codec:commons-codec 存在信息泄露漏洞 未授权敏感信息泄露 MPS-2022-11853 低危
com.google.code.gson:gson 存在BigDecimal拒绝服务漏洞 反序列化 MPS-2022-12287 CVE-2022-25647 高危
Logback SSL证书校验不当漏洞 中间人攻击 MPS-2022-12411 中危
org.freemarker:freemarker 代码注入 MPS-2022-12438 高危
org.json:json 存在拒绝服务漏洞 拒绝服务 MPS-2022-13520 高危
commons-fileupload:commons-fileupload 存在信息暴露漏洞 未授权敏感信息泄露 MPS-2022-16625 中危
snakeYAML 拒绝服务 MPS-2022-5144 CVE-2022-25857 高危
jsoup XSS MPS-2022-51547 CVE-2022-36033 中危
snakeYAML 栈缓冲区溢出 MPS-2022-56040 CVE-2022-38751 中危
snakeYAML 栈缓冲区溢出 MPS-2022-56041 CVE-2022-38752 低危
snakeYAML 栈缓冲区溢出 MPS-2022-56051 CVE-2022-38750 中危
snakeYAML 拒绝服务 MPS-2022-56081 CVE-2022-38749 中危
SnakeYAML 栈缓冲区溢出 MPS-2022-58478 CVE-2022-41854 中危
Spring Expression 存在拒绝服务漏洞 拒绝服务 MPS-2022-62835 CVE-2023-20863 高危
Fastjson 1.2.25-1.2.41版本远程代码执行漏洞 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2022-66895 严重
Fastjson 1.2.25-1.2.42版本远程代码执行漏洞 使用外部可控制的输入来选择类或代码（不安全的反射） MPS-2022-66896 严重
spring-beans 远程代码执行漏洞(Spring4Shell) 表达式语言注入 MPS-2022-6820 CVE-2022-22965 严重
snakeYAML 反序列化 MPS-2022-9425 CVE-2022-1471 高危
Apache Commons FileUpload 不加限制或调节的资源分配 MPS-2023-3553 CVE-2023-24998 中危
JSON-Java 安全漏洞 不加限制或调节的资源分配 MPS-m4ex-dja2 CVE-2023-5072 高危

缺陷组件

组件名称 版本 最小修复版本 依赖关系 修复建议
com.alibaba:fastjson 1.2.31 1.2.83 直接依赖 强烈建议修复
org.springframework.data:spring-data-mongodb 1.6.0.RELEASE 3.3.5 直接依赖 建议修复
mysql:mysql-connector-java 5.0.8 8.0.28 直接依赖 建议修复
org.freemarker:freemarker 2.3.28 2.3.30 直接依赖 建议修复
org.codehaus.groovy:groovy 1.5.7 2.4.21 直接依赖 建议修复
org.yaml:snakeyaml 1.21 2.0 直接依赖 建议修复
org.springframework:spring-context 5.1.2.RELEASE 5.2.21.RELEASE 直接依赖 建议修复
ch.qos.logback:logback-core 1.2.1 1.2.8 直接依赖 建议修复
org.springframework:spring-beans 5.1.2.RELEASE 5.2.22.RELEASE 直接依赖 建议修复
org.springframework:spring-web 5.1.2.RELEASE 6.0.0 直接依赖 建议修复
org.springframework.data:spring-data-commons 1.9.0.RELEASE 1.13.11.RELEASE 间接依赖 建议修复
commons-fileupload:commons-fileupload 1.3.1 1.5 直接依赖 建议修复
com.mchange:c3p0 0.9.5-pre8 0.9.5.4 直接依赖 建议修复
com.alibaba:druid 1.1.12 1.2.4 直接依赖 建议修复
org.json:json 20160810 20231013 直接依赖 可选修复
org.jsoup:jsoup 1.10.2 1.15.3 间接依赖 可选修复
org.springframework:spring-core 5.1.2.RELEASE 5.2.23.RELEASE 直接依赖 可选修复
com.google.code.gson:gson 2.3 2.8.9 直接依赖 可选修复
org.apache.ant:ant 1.7.0 1.9.16 间接依赖 可选修复
org.springframework:spring-expression 5.1.2.RELEASE 5.2.24 间接依赖 可选修复
commons-codec:commons-codec 1.9 1.13 直接依赖 可选修复
commons-io:commons-io 2.2 2.7 间接依赖 可选修复

许可证风险

许可证类型 相关组件 许可证风险
Apache-2.0 37 低
MIT 4 低
LGPL-2.1 3 中
EPL-1.0 5 低
自定义许可证 5 低
JSON 1 低
MPL-1.1 1 低

SBOM清单

组件名称 组件版本 是否直接依赖 仓库
PSAPI.DLL 间接依赖
org.springframework.data:spring-data-commons 1.9.0.RELEASE 间接依赖 maven
org.logback-extensions:logback-ext-spring 0.1.4 直接依赖 maven
org.codehaus.groovy:groovy 1.5.7 直接依赖 maven
com.google.code.gson:gson 2.3 直接依赖 maven
org.jsoup:jsoup 1.10.2 间接依赖 maven
asm:asm-analysis 2.2 间接依赖 maven
com.mchange:mchange-commons-java 0.2.7 间接依赖 maven
org.springframework.data:spring-data-redis 1.6.2.RELEASE 直接依赖 maven
VERSION.dll 间接依赖
org.springframework:spring-core 5.1.2.RELEASE 直接依赖 maven
com.alibaba:fastjson 1.2.31 直接依赖 maven
org.springframework:spring-test 5.1.2.RELEASE 直接依赖 maven
WININET.dll 间接依赖
commons-io:commons-io 2.2 间接依赖 maven
net.sourceforge.jexcelapi:jxl 2.6.12 直接依赖 maven
asm:asm 2.2 间接依赖 maven
org.slf4j:slf4j-api 1.6.2 直接依赖 maven
GDI32.dll 间接依赖
com.mchange:c3p0 0.9.5-pre8 直接依赖 maven
gdiplus.dll 间接依赖
org.springframework.data:spring-data-mongodb 1.6.0.RELEASE 直接依赖 maven
COMCTL32.dll 间接依赖
org.apache.ant:ant 1.7.0 间接依赖 maven
org.springframework:spring-expression 5.1.2.RELEASE 间接依赖 maven
SHLWAPI.dll 间接依赖
org.springframework:spring-tx 5.1.2.RELEASE 直接依赖 maven
com.alibaba:druid 1.1.12 直接依赖 maven
org.springframework:spring-aop 5.1.2.RELEASE 间接依赖 maven
io.github.gitbucket:markedj 1.0.12 直接依赖 maven
org.freemarker:freemarker 2.3.28 直接依赖 maven
commons-lang:commons-lang 2.6 直接依赖 maven
ole32.dll 间接依赖
ch.qos.logback:logback-core 1.2.1 直接依赖 maven
org.ansj:tree_split 1.0.1 间接依赖 maven
urlmon.dll 间接依赖
antlr:antlr 2.7.6 间接依赖 maven
org.springframework:spring-web 5.1.2.RELEASE 直接依赖 maven
org.springframework:spring-context-support 5.1.2.RELEASE 直接依赖 maven
KERNEL32.dll 间接依赖
org.springframework:spring-jcl 5.1.2.RELEASE 间接依赖 maven
asm:asm-tree 2.2 间接依赖 maven
redis.clients:jedis 2.8.1 直接依赖 maven
org.springframework:spring-jdbc 5.1.2.RELEASE 直接依赖 maven
org.ansj:ansj_seg 0.9 直接依赖 maven
org.springframework:spring-context 5.1.2.RELEASE 直接依赖 maven
ADVAPI32.dll 间接依赖
mysql:mysql-connector-java 5.0.8 直接依赖 maven
commons-codec:commons-codec 1.9 直接依赖 maven
org.json:json 20160810 直接依赖 maven
comdlg32.dll 间接依赖
com.wuweibi:module4j 0.0.1 直接依赖 maven
ch.qos.logback:logback-classic 1.2.1 直接依赖 maven
org.slf4j:jcl-over-slf4j 1.7.7 间接依赖 maven
SHELL32.dll 间接依赖
org.springframework.session:spring-session 1.0.2.RELEASE 直接依赖 maven
jline:jline 0.9.94 间接依赖 maven
ch.qos.logback:logback-access 1.2.1 直接依赖 maven
org.javassist:javassist 3.20.0-GA 间接依赖 maven
net.sf.ehcache:ehcache 2.10.4 直接依赖 maven
javax.mail:mail 1.4.3 直接依赖 maven
org.apache.ant:ant-launcher 1.7.0 间接依赖 maven
org.springframework:spring-webmvc 5.1.2.RELEASE 直接依赖 maven
org.mongodb:mongo-java-driver 2.12.3 间接依赖 maven
USER32.dll 间接依赖
org.yaml:snakeyaml 1.21 直接依赖 maven
org.springframework:spring-beans 5.1.2.RELEASE 直接依赖 maven
asm:asm-util 2.2 间接依赖 maven
commons-fileupload:commons-fileupload 1.3.1 直接依赖 maven
org.apache.commons:commons-pool2 2.4.2 间接依赖 maven
javax.activation:activation 1.1 间接依赖 maven
赞 (0)
上一篇 2023年11月6日
下一篇 2023年11月6日

相关推荐

  • google/osv-scanner 软件分析报告

    基础信息 项目名称：google/osv-scanner 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1718270015768936448/1718270015815073792 此报告由Murphysec提供…

    软件分析 2023年10月28日
    0

  • fsgo/go_fmt 软件分析报告

    基础信息 项目名称：fsgo/go_fmt 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1718002375054721024/1718002381216153600 此报告由Murphysec提供 漏洞列表 暂…

    软件分析 2023年10月28日
    0

  • aquasecurity/cloud-security-remediation-guides 软件分析报告

    基础信息 项目名称：aquasecurity/cloud-security-remediation-guides 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1716001185467072512/1716001…

    软件分析 2023年10月23日
    0

  • GorillaStack/auto-tag 软件分析报告

    基础信息 项目名称：GorillaStack/auto-tag 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1718322055643709440/1718322055744372736 此报告由Murphyse…

    软件分析 2023年10月29日
    0

  • locustio/locust 软件分析报告

    基础信息 项目名称：locustio/locust 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1755152086910447616/1755152087040471040 此报告由Murphysec提供 漏洞…

    软件分析 2024年2月7日
    0