基础信息
项目名称：douban/code
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1721143590163316736/1725790895942885376
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| SimpleGeo python-oauth2 Signed URL Nonce 验证安全绕过漏洞 | 密码学问题 | MPS-2014-2542 | CVE-2013-4346 | 中危 |
| SimpleGeo python-oauth2 多个可预测随机数生成器漏洞 | 密码学问题 | MPS-2014-2543 | CVE-2013-4347 | 中危 |
| Paramiko SSH server 访问控制错误漏洞 | 授权检查错误 | MPS-2018-13227 | CVE-2018-1000805 | 高危 |
| Python 信任管理问题漏洞 | 凭证保护不足 | MPS-2018-13292 | CVE-2018-18074 | 高危 |
| Paramiko SSH服务器实现授权问题漏洞 | 身份验证不当 | MPS-2018-3115 | CVE-2018-7750 | 严重 |
| gunicorn 安全漏洞 | CRLF注入 | MPS-2018-5036 | CVE-2018-1000164 | 高危 |
| celery 安全漏洞 | 命令注入 | MPS-2021-19766 | CVE-2021-23727 | 高危 |
| gevent 存在信息暴露漏洞 | 未授权敏感信息泄露 | MPS-2022-14926 | 中危 | |
| gunicorn 存在HTTP请求的解释不一致性（HTTP请求私运）漏洞 | HTTP请求走私 | MPS-2022-14935 | 中危 | |
| Paramiko 竞争条件问题漏洞 | 竞争条件 | MPS-2022-3207 | CVE-2022-24302 | 中危 |
| redis-py 存在信息泄露漏洞 | 未授权敏感信息泄露 | MPS-2023-8854 | CVE-2023-28858 | 中危 |
| redis-py 存在信息泄露漏洞 | 未授权敏感信息泄露 | MPS-2023-8855 | CVE-2023-28859 | 中危 |
| Gevent 安全漏洞 | MPS-d183-ymbv | CVE-2023-41419 | 严重 | |
| Requests Proxy-Authorization 标头泄露漏洞 | 未授权敏感信息泄露 | MPS-hr61-tzey | CVE-2023-32681 | 中危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| paramiko | 1.16.0 | 2.10.1 | 间接依赖 | 强烈建议修复 |
| celery | 3.1.18 | 5.2.2 | 间接依赖 | 建议修复 |
| gunicorn | 19.4.1 | 19.10.0 | 间接依赖 | 建议修复 |
| requests | 2.7.0 | 2.31.0 | 间接依赖 | 建议修复 |
| oauth2 | 1.5.211 | 1.9rc1 | 间接依赖 | 可选修复 |
| gevent | 1.0.2 | 23.9.0 | 间接依赖 | 可选修复 |
| redis | 2.10.3 | 4.5.3 | 间接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| MIT | 10 | 低 |
| 自定义许可证 | 8 | 低 |
| Apache-2.0 | 3 | 低 |
| BSD-3-Clause | 3 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| eq_ | 间接依赖 | pip | |
| gevent | 1.0.2 | 间接依赖 | pip |
| billiard | 3.3.0.22 | 间接依赖 | pip |
| python-dateutil | 2.1 | 间接依赖 | pip |
| paramiko | 1.16.0 | 间接依赖 | pip |
| kombu | 3.0.33 | 间接依赖 | pip |
| redis | 2.10.3 | 间接依赖 | pip |
| HTMLParser | 间接依赖 | pip | |
| mikoto | 0.0.4 | 间接依赖 | pip |
| requirements.txt | 间接依赖 | pip | |
| pytz | 2013.8 | 间接依赖 | pip |
| WebTest | 2.0.20 | 间接依赖 | pip |
| bcrypt | 2.0.0 | 间接依赖 | pip |
| docutils | 0.12 | 间接依赖 | pip |
| rds_key_for_receiver | 间接依赖 | pip | |
| vilya | 间接依赖 | pip | |
| gunicorn | 19.4.1 | 间接依赖 | pip |
| cmemcached | 间接依赖 | pip | |
| oauth2 | 1.5.211 | 间接依赖 | pip |
| PyYAML | 3.11 | 间接依赖 | pip |
| pytest | 2.5.0 | 间接依赖 | pip |
| wsgiauth | 0.1 | 间接依赖 | pip |
| blinker | 1.4 | 间接依赖 | pip |
| nose | 1.3.7 | 间接依赖 | pip |
| Mako | 0.9.0 | 间接依赖 | pip |
| celery | 3.1.18 | 间接依赖 | pip |
| mock | 1.3.0 | 间接依赖 | pip |
| ok_ | 间接依赖 | pip | |
| tests | 间接依赖 | pip | |
| gitcollector | 间接依赖 | pip | |
| PyRSS2Gen | 1.1 | 间接依赖 | pip |
| Notification | 间接依赖 | pip | |
| Trolly | 0.1.0 | 间接依赖 | pip |
| requests | 2.7.0 | 间接依赖 | pip |
| Sphinx | 1.3.1 | 间接依赖 | pip |
| Werkzeug | 0.9.4 | 间接依赖 | pip |