基础信息
项目名称：flapjack/flapjack
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1721199301295673344/1730330003558064128
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| Ruby WEBrick远程目录遍历漏洞 | 路径遍历 | MPS-2008-1830 | CVE-2008-1891 | 中危 |
| WEBrick非打印字符溢出序列的HTTP请求任意文件执行和重写漏洞 | MPS-2010-0140 | CVE-2009-4492 | 高危 | |
| Ruby on Rails Active Model 安全绕过漏洞 | MPS-2016-0902 | CVE-2016-0753 | 中危 | |
| i18n gem for Ruby 安全漏洞 | 拒绝服务 | MPS-2018-14444 | CVE-2014-10077 | 高危 |
| Rack multipart parser 安全漏洞 | 拒绝服务 | MPS-2018-14700 | CVE-2018-16470 | 高危 |
| Rack 跨站脚本漏洞 | XSS | MPS-2018-14701 | CVE-2018-16471 | 中危 |
| Sinatra for Windows 路径遍历漏洞 | 路径遍历 | MPS-2018-2220 | CVE-2018-7212 | 中危 |
| Sinatra rack-protection 信息泄露漏洞 | 通过差异性导致的信息暴露 | MPS-2018-2820 | CVE-2018-1000119 | 中危 |
| Sinatra 跨站脚本漏洞 | XSS | MPS-2018-6695 | CVE-2018-11627 | 中危 |
| RubyGem Rack 信息泄露漏洞 | 通过时间差异性导致的信息暴露 | MPS-2019-16744 | CVE-2019-16782 | 中危 |
| Ruby 环境问题漏洞 | HTTP请求走私 | MPS-2020-13955 | CVE-2020-25613 | 高危 |
| Ruby JSON gem 输入验证错误漏洞 | 拒绝服务 | MPS-2020-15713 | CVE-2020-10663 | 高危 |
| RubyGem Rack 输入验证错误漏洞 | 在安全决策中依赖未经验证和完整性检查的Cookie | MPS-2020-9140 | CVE-2020-8184 | 高危 |
| Ruby on Rails 代码问题漏洞 | 反序列化 | MPS-2020-9184 | CVE-2020-8165 | 严重 |
| RubyGem Rack 路径遍历漏洞 | 路径遍历 | MPS-2020-9849 | CVE-2020-8161 | 高危 |
| Addressable资源管理错误漏洞 | 拒绝服务 | MPS-2021-9447 | CVE-2021-32740 | 高危 |
| Ruby TZInfo 存在相对路径遍历 | 相对路径遍历 | MPS-2022-11193 | CVE-2022-31163 | 高危 |
| cucumber 存在基本跨站脚漏洞 | 基本跨站脚本 | MPS-2022-15241 | 中危 | |
| rack 存在HTTP请求的解释不一致性（HTTP请求私运）漏洞 | HTTP请求走私 | MPS-2022-15297 | 中危 | |
| rack-protection 存在密码学问题漏洞 | 密码学问题 | MPS-2022-15303 | 低危 | |
| rubygem-rack 资源管理错误漏洞 | ReDoS | MPS-2022-62790 | CVE-2022-44570 | 高危 |
| Sinatra 安全漏洞 | 下载代码缺少完整性检查 | MPS-2022-64602 | CVE-2022-45442 | 高危 |
| Sinatra路径遍历漏洞 | 路径遍历 | MPS-2022-9671 | CVE-2022-29970 | 高危 |
| RubyGem Rack 资源管理错误漏洞 | ReDoS | MPS-2022-9827 | CVE-2022-30122 | 高危 |
| RubyGem Rack 安全漏洞 | MPS-2022-9828 | CVE-2022-30123 | 严重 | |
| rubygem-activesupport 安全漏洞 | ReDoS | MPS-2023-0494 | CVE-2023-22796 | 高危 |
| rubygem-rack 安全漏洞 | 不加限制或调节的资源分配 | MPS-2023-6824 | CVE-2023-27530 | 高危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| activesupport | 4.2.5 | 6.1.7.1 | 间接依赖 | 强烈建议修复 |
| tzinfo | 1.2.2 | 1.2.10 | 间接依赖 | 建议修复 |
| json | 1.8.3-java | 2.3.0 | 间接依赖 | 建议修复 |
| webrick | 1.3.1 | 1.5.1 | 间接依赖 | 建议修复 |
| sinatra | 1.4.6 | 2.2.3 | 间接依赖 | 建议修复 |
| i18n | 0.7.0 | 0.8.0 | 间接依赖 | 建议修复 |
| rack | 1.6.4 | 间接依赖 | 建议修复 | |
| addressable | 2.3.8 | 2.8.0 | 间接依赖 | 建议修复 |
| cucumber | 2.1.0 | 4.0.0 | 间接依赖 | 可选修复 |
| activemodel | 4.2.5 | 4.3 | 间接依赖 | 可选修复 |
| rack-protection | 1.5.3 | 2.0.1 | 间接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| MIT | 9 | 低 |
| BSD-3-Clause | 1 | 低 |
| 自定义许可证 | 2 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| rack-protection | 1.5.3 | 间接依赖 | bundler |
| webrick | 1.3.1 | 间接依赖 | bundler |
| thor | 0.19.1 | 间接依赖 | bundler |
| crack | 0.4.2 | 间接依赖 | bundler |
| tins | 1.7.0 | 间接依赖 | bundler |
| diff-lcs | 1.2.5 | 间接依赖 | bundler |
| cucumber-core | 1.3.0 | 间接依赖 | bundler |
| minitest | 5.8.3 | 间接依赖 | bundler |
| rspec | 3.4.0 | 间接依赖 | bundler |
| pact-mock_service | 0.7.2 | 间接依赖 | bundler |
| docile | 1.1.5 | 间接依赖 | bundler |
| multi_json | 1.11.2 | 间接依赖 | bundler |
| tzinfo | 1.2.2 | 间接依赖 | bundler |
| hashdiff | 0.2.3 | 间接依赖 | bundler |
| chronic_duration | 0.10.6 | 间接依赖 | bundler |
| builder | 3.2.2 | 间接依赖 | bundler |
| mime-types | 2.99 | 间接依赖 | bundler |
| tilt | 2.0.1 | 间接依赖 | bundler |
| sinatra | 1.4.6 | 间接依赖 | bundler |
| rack-test | 0.6.3 | 间接依赖 | bundler |
| simplecov | 0.10.0 | 间接依赖 | bundler |
| rack | 1.6.4 | 间接依赖 | bundler |
| json_spec | 1.1.4 | 间接依赖 | bundler |
| pact | 1.9.0 | 间接依赖 | bundler |
| multi_xml | 0.5.5 | 间接依赖 | bundler |
| safe_yaml | 1.0.4 | 间接依赖 | bundler |
| multi_test | 0.1.2 | 间接依赖 | bundler |
| delorean | 2.1.0 | 间接依赖 | bundler |
| addressable | 2.3.8 | 间接依赖 | bundler |
| cucumber | 2.1.0 | 间接依赖 | bundler |
| thread_safe | 0.3.5-java | 间接依赖 | bundler |
| pact-support | 0.5.4 | 间接依赖 | bundler |
| chronic | 0.10.2 | 间接依赖 | bundler |
| flapjack-diner | 2.0.0 | 间接依赖 | bundler |
| 2.6.3 | 间接依赖 | bundler | |
| activemodel | 4.2.5 | 间接依赖 | bundler |
| find_a_port | 1.0.1 | 间接依赖 | bundler |
| rspec-support | 3.4.1 | 间接依赖 | bundler |
| tzinfo-data | 1.2015.7 | 间接依赖 | bundler |
| rspec-expectations | 3.4.0 | 间接依赖 | bundler |
| simplecov-html | 0.10.0 | 间接依赖 | bundler |
| zermelo | 1.4.3 | 间接依赖 | bundler |
| randexp | 0.1.7 | 间接依赖 | bundler |
| toml-rb | 0.3.8 | 间接依赖 | bundler |
| activesupport | 4.2.5 | 间接依赖 | bundler |
| term-ansicolor | 1.3.2 | 间接依赖 | bundler |
| citrus | 3.0.2 | 间接依赖 | bundler |
| httparty | 0.13.5 | 间接依赖 | bundler |
| rspec-mocks | 3.4.0 | 间接依赖 | bundler |
| i18n | 0.7.0 | 间接依赖 | bundler |
| rspec-core | 3.4.1 | 间接依赖 | bundler |
| webmock | 1.22.3 | 间接依赖 | bundler |
| awesome_print | 1.6.1 | 间接依赖 | bundler |
| numerizer | 0.1.1 | 间接依赖 | bundler |
| json | 1.8.3-java | 间接依赖 | bundler |
| gherkin3 | 3.1.2 | 间接依赖 | bundler |