基础信息
项目名称：apple/coremltools
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1721950279020617728/1730020135204245504
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| Google protobuf 缓冲区错误漏洞 | 越界写入 | MPS-2017-10841 | CVE-2015-5237 | 高危 |
| OpenCV 缓冲区错误漏洞 | 缓冲区溢出 | MPS-2017-14553 | CVE-2017-17760 | 中危 |
| OpenCV 安全漏洞 | 双重释放 | MPS-2017-3892 | CVE-2016-1516 | 高危 |
| OpenCV 输入验证漏洞 | 输入验证不恰当 | MPS-2017-3893 | CVE-2016-1517 | 中危 |
| Silicon Graphics LibTIFF 安全漏洞 | 越界读取 | MPS-2017-5747 | CVE-2017-9147 | 中危 |
| OpenCV 安全漏洞 | 越界写入 | MPS-2017-8482 | CVE-2017-12597 | 高危 |
| OpenCV 安全漏洞 | 越界读取 | MPS-2017-8483 | CVE-2017-12598 | 高危 |
| OpenCV 安全漏洞 | 越界读取 | MPS-2017-8484 | CVE-2017-12599 | 高危 |
| OpenCV 安全漏洞 | 拒绝服务 | MPS-2017-8485 | CVE-2017-12600 | 高危 |
| OpenCV 缓冲区错误漏洞 | 经典缓冲区溢出 | MPS-2017-8486 | CVE-2017-12601 | 高危 |
| OpenCV 安全漏洞 | 拒绝服务 | MPS-2017-8487 | CVE-2017-12602 | 高危 |
| OpenCV 缓冲区错误漏洞 | 越界写入 | MPS-2017-8488 | CVE-2017-12603 | 高危 |
| OpenCV 安全漏洞 | 越界写入 | MPS-2017-8489 | CVE-2017-12604 | 高危 |
| OpenCV 安全漏洞 | 越界写入 | MPS-2017-8490 | CVE-2017-12605 | 高危 |
| OpenCV 安全漏洞 | 越界写入 | MPS-2017-8491 | CVE-2017-12606 | 高危 |
| OpenCV 缓冲区错误漏洞 | 越界读取 | MPS-2018-0005 | CVE-2017-18009 | 高危 |
| Opencv 数字错误漏洞 | 整数溢出或环绕 | MPS-2018-0025 | CVE-2017-1000450 | 高危 |
| OpenCV 缓冲区错误漏洞 | 越界写入 | MPS-2018-0212 | CVE-2018-5268 | 中危 |
| OpenCV 安全漏洞 | 可达断言 | MPS-2018-0213 | CVE-2018-5269 | 中危 |
| OpenCV 安全漏洞 | 可达断言 | MPS-2018-2747 | CVE-2018-7712 | 高危 |
| OpenCV 安全漏洞 | 可达断言 | MPS-2018-2748 | CVE-2018-7713 | 高危 |
| Google Guava 不可信数据的反序列化漏洞 | 不加限制或调节的资源分配 | MPS-2018-5515 | CVE-2018-10237 | 中危 |
| OpenCV 数字错误漏洞 | 除零错误 | MPS-2019-11014 | CVE-2019-15939 | 中危 |
| OpenCV 缓冲区错误漏洞 | 越界读取 | MPS-2019-15873 | CVE-2019-19624 | 中危 |
| node-opencv 操作系统命令注入漏洞 | OS命令注入 | MPS-2019-2986 | CVE-2019-10061 | 严重 |
| OpenCV 缓冲区错误漏洞 | 越界读取 | MPS-2019-9066 | CVE-2019-14491 | 高危 |
| OpenCV 缓冲区错误漏洞 | 越界写入 | MPS-2019-9067 | CVE-2019-14492 | 高危 |
| OpenCV 代码问题漏洞 | 空指针取消引用 | MPS-2019-9068 | CVE-2019-14493 | 高危 |
| Google Guava 访问控制错误漏洞 | 关键资源权限分配不当 | MPS-2020-17429 | CVE-2020-8908 | 低危 |
| Google protobuf DOS漏洞 | 不正确的行为次序 | MPS-2021-19066 | CVE-2021-22569 | 中危 |
| Google protobuf 空指针漏洞 | 空指针取消引用 | MPS-2021-19067 | CVE-2021-22570 | 中危 |
| com.fasterxml.jackson.core:jackson-core 存在资源管理错误漏洞 | 资源管理错误 | MPS-2022-11944 | 中危 | |
| com.fasterxml.jackson.core:jackson-core BigDecimal拒绝服务漏洞 | 资源管理错误 | MPS-2022-12166 | 中危 | |
| com.google.code.gson:gson 存在BigDecimal拒绝服务漏洞 | 反序列化 | MPS-2022-12287 | CVE-2022-25647 | 高危 |
| protobuf-cpp 和 protobuf-python 中存在拒绝服务漏洞 | 缓冲区溢出 | MPS-2022-16730 | CVE-2022-1941 | 高危 |
| protobuf-java 存在输入验证不当漏洞 | 拒绝服务 | MPS-2022-56472 | CVE-2022-3171 | 中危 |
| IBM WebSphere Application Server Liberty 存在拒绝服务漏洞 | 对因果或异常条件的不恰当检查 | MPS-2022-59813 | CVE-2022-3509 | 中危 |
| Google protobuf 安全漏洞 | MPS-2022-59814 | CVE-2022-3510 | 高危 | |
| Guava | 创建拥有不安全权限的临时文件 | MPS-mfku-xzh3 | CVE-2023-2976 | 中危 |
| OpenCV 代码问题漏洞 | 空指针取消引用 | MPS-r2m7-x6z0 | CVE-2023-2617 | 高危 |
| OpenCV 安全漏洞 | 内存泄漏 | MPS-t7yp-ev9j | CVE-2023-2618 | 高危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| com.google.protobuf:protobuf-java | 3.0.0 | 3.16.3 | 直接依赖 | 建议修复 |
| com.google.protobuf:protobuf-java | 3.3.0 | 3.16.3 | 直接依赖 | 建议修复 |
| com.google.guava:guava | 20.0 | 32.0.0-jre | 直接依赖 | 建议修复 |
| protobuf | 3.9.1 | 间接依赖 | 建议修复 | |
| opencv | 4.5.3 | 间接依赖 | 建议修复 | |
| com.fasterxml.jackson.core:jackson-core | 2.4.3 | 2.8.6 | 直接依赖 | 可选修复 |
| com.google.code.gson:gson | 2.7 | 2.8.9 | 直接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| BSD-3-Clause | 5 | 低 |
| Apache-2.0 | 4 | 低 |
| 自定义许可证 | 3 | 低 |
| GPL-2.0 | 1 | 中 |
| MIT | 5 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| call_f | 间接依赖 | pip | |
| com.google.protobuf:protobuf-java | 3.3.0 | 直接依赖 | maven |
| Extension | 间接依赖 | pip | |
| IncType | 间接依赖 | pip | |
| Pet | 间接依赖 | pip | |
| furo | 2022.6.21 | 间接依赖 | pip |
| com.fasterxml.jackson.core:jackson-core | 2.4.3 | 直接依赖 | maven |
| breathe | 4.34.0 | 间接依赖 | pip |
| protobuf | 3.9.1 | 间接依赖 | |
| libmysqlclient | 8.0.17 | 间接依赖 | |
| pytest | 7.0.0 | 间接依赖 | pip |
| Parent | 间接依赖 | pip | |
| pybind11 | 间接依赖 | ||
| com.google.protobuf:protobuf-java | 3.0.0 | 直接依赖 | maven |
| fixed_c | 间接依赖 | pip | |
| sphinxcontrib-svg2pdfconverter | 1.2.0 | 间接依赖 | pip |
| com.google.guava:guava | 20.0 | 直接依赖 | maven |
| setup | 间接依赖 | pip | |
| protobuf | 间接依赖 | ||
| print_char | 间接依赖 | pip | |
| ConstructorStats | 间接依赖 | pip | |
| opencv | 4.5.3 | 间接依赖 | |
| pybind11_tests | 间接依赖 | pip | |
| Child | 间接依赖 | pip | |
| __version__ | 间接依赖 | pip | |
| com.google.code.gson:gson | 2.7 | 直接依赖 | maven |
| sphinx-copybutton | 0.5.0 | 间接依赖 | pip |
| UserType | 间接依赖 | pip | |
| Dog | 间接依赖 | pip | |
| fixed_r | 间接依赖 | pip | |
| opencv | 间接依赖 | ||
| print_cchar | 间接依赖 | pip | |
| version_info | 间接依赖 | pip | |
| fp16 | cci.20200514 | 间接依赖 | |
| build | 0.8.0 | 间接依赖 | pip |
| A | 间接依赖 | pip | |
| sphinxcontrib-moderncmakedomain | 3.21.4 | 间接依赖 | pip |
| sphinx | 5.0.2 | 间接依赖 | pip |