sentry/nextjs <7.77.0 SSRF漏洞 (CVE-2023-46729)

漏洞类型 SSRF 发现时间 2023-11-10 漏洞等级 严重
MPS编号 MPS-eg1f-zcy9 CVE编号 CVE-2023-46729 漏洞影响广度 一般

漏洞危害

OSCS 描述
Sentry是一个开源的实时事件日志监控、记录和聚合平台,Sentry Next.js 是 JavaScript 官方 Sentry SDK
由于没有使用正确的正则匹配来检查隧道目标参数的合法性,Next.js SDK 隧道端点会将 HTTP 请求发送到任意 URL 并将响应返回给用户。攻击者可以向隧道端点发送恶意请求,读取云元数据端点等。
参考链接:https://www.oscs1024.com/hd/MPS-eg1f-zcy9

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
@sentry/nextjs [7.26.0, 7.77.0) 缓解措施 tunnelRoute通过从 Sentry Next.js SDK 配置中删除该选项
参考链接:https://www.oscs1024.com/hd/MPS-eg1f-zcy9

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-eg1f-zcy9

https://github.com/getsentry/sentry-javascript/security/advisories/GHSA-2rmr-xw8m-22q9

https://github.com/getsentry/sentry-javascript/pull/9415

https://github.com/getsentry/sentry-javascript/commit/ddbda3c02c35aba8c5235e0cf07fc5bf656f81be

(0)
上一篇 2023年11月10日 下午12:00
下一篇 2023年11月14日 上午10:00

相关推荐

  • Apache Superset<2.1.1 远程代码执行漏洞 (CVE-2023-37941)

    漏洞类型 反序列化 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-tu89-c6xs CVE编号 CVE-2023-37941 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Superset 是一个开源的数据可视化工具,metadata 数据库用于存储 Superset 元数据(如配置信息)。Python 的 pickle …

    2023年9月9日
    0
  • Microsoft Windows Themes 远程代码执行漏洞(POC公开) (CVE-2023-38146)

    漏洞类型 命令注入 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-ntyd-m53q CVE编号 CVE-2023-38146 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows操作系统上,.theme文件是一种用于定义桌面主题和外观设置的文件。 Windows11 受影响版本中存在远程代码执行漏洞。当.theme文件中引用了….

    2023年9月16日
    0
  • Sonatype Nexus Repository 3<3.68.1 任意文件下载漏洞 (CVE-2024-4956)

    漏洞类型 路径遍历 发现时间 2024-05-17 漏洞等级 高危 MPS编号 MPS-acvt-3krg CVE编号 CVE-2024-4956 漏洞影响广度 漏洞危害 OSCS 描述 Sonatype Nexus Repository 3 是开源的制品库,用于存储和管理软件构建制品。 受影响版本中存在路径遍历漏洞,未经身份验证的攻击者可通过构造恶意的 U…

    漏洞 2024年5月18日
    0
  • Google Chrome WebP堆缓冲区溢出漏洞 (CVE-2023-4863)

    漏洞类型 堆缓冲区溢出 发现时间 2023-09-12 漏洞等级 高危 MPS编号 MPS-zvmn-67l1 CVE编号 CVE-2023-4863 漏洞影响广度 广 漏洞危害 OSCS 描述 Webp是由Google公司推出的一种全新的图片文件格式,同时支持有损压缩与无损压缩。 在受影响版本中,由于在Webp的逻辑处理中没有正确实现哈夫曼表,BuildH…

    2023年9月13日
    0
  • Notepad++ Utf8_16_Read::convert 缓冲区溢出漏洞 (CVE-2023-40031)

    漏洞类型 经典缓冲区溢出 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-kvs6-ntuq CVE编号 CVE-2023-40031 漏洞影响广度 广 漏洞危害 OSCS 描述 Notepad++ 是一款开源的代码编辑器,Utf8_16_Read::convert 函数用于执行UTF16到UTF8的字符编码转换。 Notepad++ 8…

    2023年9月9日
    0