1. 墨知首页
  2. 软件分析

apache/roller 软件分析报告

• 软件分析
目录 隐藏
1 基础信息
2 漏洞列表
3 缺陷组件
4 许可证风险
5 SBOM清单

基础信息

项目名称：apache/roller

项目徽章：

Security Status

仓库地址：https://github.com/pterodactyl/panel

检测报告地址：https://www.murphysec.com/console/report/1731905301816233984/1731905302818672640

此报告由Murphysec提供

漏洞列表

漏洞名称 漏洞类型 MPS编号 CVE编号 漏洞等级
Apache HttpClient 中间人攻击漏洞 输入验证不恰当 MPS-2014-4288 CVE-2012-6153 中危
Apache Derby XXE 漏洞 XXE MPS-2016-4913 CVE-2015-1832 严重
Apache Derby 权限许可和访问控制问题漏洞 访问控制不当 MPS-2018-5754 CVE-2018-1313 中危
Spring Framework 反序列化 MPS-2020-0057 CVE-2016-1000027 严重
Apache XML-RPC 存在反序列化漏洞 反序列化 MPS-2020-1158 CVE-2019-17570 严重
Apache Struts 存在远程代码执行漏洞 表达式语言注入 MPS-2021-24003 CVE-2021-31805 严重
Apache Commons IO 存在路径遍历漏洞 路径遍历 MPS-2021-4531 CVE-2021-29425 中危
org.webjars.bower:summernote 存在跨站脚本漏洞 XSS MPS-2022-11948 中危
org.webjars.bower:summernote 存在跨站脚本漏洞 XSS MPS-2022-11986 中危
Eclipse Jetty URI注入漏洞 注入 MPS-2022-18060 CVE-2022-2047 低危
Apache XercesJ XPath盲注 MPS-2022-1864 CVE-2022-23437 中危
HtmlUnit 存在拒绝服务漏洞 未经控制的内存分配 MPS-2022-7514 CVE-2022-28366 高危
Apache Commons FileUpload 不加限制或调节的资源分配 MPS-2023-3553 CVE-2023-24998 中危
Apache Struts 安全漏洞 不加限制或调节的资源分配 MPS-2k3n-qta6 CVE-2023-34396 高危
Bouncy Castle 信任管理问题漏洞 证书验证不恰当 MPS-i6w7-d48e CVE-2023-33201 中危
Spring Security 路径匹配漏洞 不恰当实现的标准安全检查 MPS-j3nx-691g CVE-2023-34034 严重
Spring Security鉴权规则错误配置风险 关键资源权限分配不当 MPS-l6z0-dktm CVE-2023-34035 高危
Guava 创建拥有不安全权限的临时文件 MPS-mfku-xzh3 CVE-2023-2976 中危
Struts 2 列表边界检查不当导致拒绝服务漏洞 不加限制或调节的资源分配 MPS-yi5s-rzc0 CVE-2023-34149 中危

缺陷组件

组件名称 版本 最小修复版本 依赖关系 修复建议
org.apache.struts:struts2-core 2.5.29 2.5.32 直接依赖 强烈建议修复
org.springframework:spring-web 5.3.27 6.0.14 直接依赖 建议修复
org.springframework.security:spring-security-web 5.8.3 5.8.5 间接依赖 建议修复
org.apache.xmlrpc:xmlrpc-client 3.1.3 直接依赖 建议修复
commons-fileupload:commons-fileupload 1.4 1.5 间接依赖 建议修复
org.springframework.security:spring-security-config 5.8.3 5.8.5 直接依赖 建议修复
org.apache.derby:derby 10.11.1.1 10.14.2.0 直接依赖 建议修复
commons-httpclient:commons-httpclient 3.1 间接依赖 可选修复
net.sourceforge.nekohtml:nekohtml 1.9.22 间接依赖 可选修复
xerces:xercesImpl 2.11.0 2.12.2 间接依赖 可选修复
org.bouncycastle:bcprov-jdk15on 1.70 间接依赖 可选修复
org.eclipse.jetty:jetty-http 10.0.16 11.0.16 间接依赖 可选修复
com.google.guava:guava 31.0.1-jre 32.0.0-jre 间接依赖 可选修复
commons-io:commons-io 2.6 2.7 间接依赖 可选修复
org.webjars.bower:summernote 0.8.12 直接依赖 可选修复
org.apache.tiles:tiles-core 3.0.8 间接依赖

许可证风险

许可证类型 相关组件 许可证风险
Apache-2.0 86 低
EPL-2.0 10 低
自定义许可证 10 低
MIT 10 低
BSD-3-Clause 3 低
LGPL-2.1 1 中
MPL-1.1 1 低
CDDL-1.1 1 低

SBOM清单

组件名称 组件版本 是否直接依赖 仓库
com.google.code.findbugs:jsr305 3.0.2 间接依赖 maven
com.google.guava:failureaccess 1.0.1 间接依赖 maven
org.springframework.security:spring-security-openid 5.8.3 直接依赖 maven
jakarta.persistence:jakarta.persistence-api 3.1.0 间接依赖 maven
net.oauth.core:oauth 20100527 间接依赖 maven
org.apache.struts:struts-annotations 1.0.6 间接依赖 maven
org.springframework.security:spring-security-core 5.8.3 间接依赖 maven
javax.inject:javax.inject 1 间接依赖 maven
ognl:ognl 3.1.29 间接依赖 maven
org.apache.ws.commons.util:ws-commons-util 1.0.2 直接依赖 maven
org.eclipse.jetty:jetty-http 10.0.16 间接依赖 maven
org.eclipse.persistence:org.eclipse.persistence.extension 4.0.2 直接依赖 maven
org.webjars:webjars-servlet-2.x 1.6 直接依赖 maven
org.springframework:spring-beans 5.3.27 间接依赖 maven
org.springframework:spring-aop 5.3.27 间接依赖 maven
org.webjars:clipboard.js 2.0.11 直接依赖 maven
org.apache.tiles:tiles-request-jsp 1.0.7 间接依赖 maven
org.openid4java:openid4java-nodeps 0.9.6 间接依赖 maven
org.webjars:jquery 3.6.4 直接依赖 maven
org.apache.lucene:lucene-core 9.6.0 间接依赖 maven
org.eclipse.jetty:jetty-util 10.0.16 间接依赖 maven
org.apache.tiles:tiles-jsp 3.0.8 间接依赖 maven
org.apache.tiles:tiles-template 3.0.8 间接依赖 maven
org.apache.commons:commons-lang3 3.11 间接依赖 maven
commons-validator:commons-validator 1.7 直接依赖 maven
commons-beanutils:commons-beanutils 1.9.4 直接依赖 maven
org.apache.lucene:lucene-backward-codecs 9.6.0 直接依赖 maven
xerces:xercesImpl 2.11.0 间接依赖 maven
commons-httpclient:commons-httpclient 3.1 间接依赖 maven
com.sun.activation:javax.activation 1.2.0 直接依赖 maven
org.apache.commons:commons-lang3 3.1 直接依赖 maven
org.springframework.security:spring-security-config 5.8.3 直接依赖 maven
org.springframework.security:spring-security-crypto 5.8.3 间接依赖 maven
org.apache.tiles:tiles-request-servlet 1.0.7 间接依赖 maven
com.google.errorprone:error_prone_annotations 2.7.1 间接依赖 maven
org.ow2.asm:asm 9.5 直接依赖 maven
org.apache.struts:struts2-tiles-plugin 2.5.29 直接依赖 maven
org.apache.logging.log4j:log4j-core 2.20.0 间接依赖 maven
commons-io:commons-io 2.6 间接依赖 maven
org.webjars:jquery-validation 1.19.5 直接依赖 maven
org.slf4j:jcl-over-slf4j 1.7.36 直接依赖 maven
org.springframework.security:spring-security-taglibs 5.8.3 直接依赖 maven
org.jdom:jdom2 2.0.6.1 间接依赖 maven
org.webjars:jquery-ui 1.13.2 直接依赖 maven
javax.servlet:jstl 1.2 直接依赖 maven
org.webjars.bower:summernote 0.8.12 直接依赖 maven
org.springframework.security:spring-security-acl 5.8.3 直接依赖 maven
org.apache.derby:derby 10.11.1.1 直接依赖 maven
org.freemarker:freemarker 2.3.30 间接依赖 maven
com.google.guava:guava 31.0.1-jre 间接依赖 maven
org.apache.tiles:tiles-ognl 3.0.8 间接依赖 maven
org.bouncycastle:bcprov-jdk15on 1.70 间接依赖 maven
org.webjars:bootstrap 3.4.1 直接依赖 maven
org.springframework.ldap:spring-ldap-core 2.4.1 间接依赖 maven
org.apache.tiles:tiles-request-freemarker 1.0.7 间接依赖 maven
org.bouncycastle:bcpkix-jdk15on 1.70 直接依赖 maven
org.apache.lucene:lucene-analysis-common 9.6.0 直接依赖 maven
org.apache.logging.log4j:log4j-api 2.20.0 间接依赖 maven
com.rometools:rome-propono 1.19.0 直接依赖 maven
org.eclipse.jetty:jetty-io 10.0.16 间接依赖 maven
org.apache.struts:struts2-spring-plugin 2.5.29 直接依赖 maven
commons-fileupload:commons-fileupload 1.4 间接依赖 maven
commons-collections:commons-collections 3.2.2 间接依赖 maven
org.apache.tiles:tiles-freemarker 3.0.8 间接依赖 maven
org.springframework:spring-expression 5.3.27 间接依赖 maven
org.springframework:spring-core 5.3.27 间接依赖 maven
org.ow2.asm:asm-tree 9.5 直接依赖 maven
org.apache.lucene:lucene-sandbox 9.6.0 间接依赖 maven
net.oauth.core:oauth-provider 20100527 直接依赖 maven
org.springframework:spring-context 5.3.27 直接依赖 maven
org.apache.xmlrpc:xmlrpc-server 3.1.3 直接依赖 maven
org.apache.tiles:tiles-core 3.0.8 间接依赖 maven
org.eclipse.persistence:org.eclipse.persistence.core 4.0.2 间接依赖 maven
commons-digester:commons-digester 2.1 间接依赖 maven
org.bouncycastle:bcutil-jdk15on 1.70 间接依赖 maven
org.eclipse.jetty.toolchain:jetty-servlet-api 4.0.6 间接依赖 maven
org.eclipse.jetty:jetty-server 10.0.16 直接依赖 maven
org.apache.httpcomponents:httpclient 4.5.14 间接依赖 maven
org.springframework.security:spring-security-web 5.8.3 间接依赖 maven
net.sourceforge.nekohtml:nekohtml 1.9.22 间接依赖 maven
com.rometools:rome-utils 1.19.0 间接依赖 maven
org.eclipse.persistence:org.eclipse.persistence.jpa 4.0.2 直接依赖 maven
xml-apis:xml-apis 1.4.01 间接依赖 maven
org.eclipse.persistence:org.eclipse.persistence.jpa.jpql 4.0.2 间接依赖 maven
org.apache.commons:commons-text 1.10.0 直接依赖 maven
org.apache.lucene:lucene-queries 9.6.0 间接依赖 maven
org.apache.tiles:tiles-request-api 1.0.7 间接依赖 maven
org.apache.tiles:tiles-el 3.0.8 间接依赖 maven
org.apache.struts:struts2-core 2.5.29 直接依赖 maven
org.javassist:javassist 3.20.0-GA 间接依赖 maven
org.springframework:spring-tx 5.3.27 间接依赖 maven
commons-codec:commons-codec 1.15 直接依赖 maven
org.checkerframework:checker-qual 3.12.0 间接依赖 maven
org.apache.tiles:tiles-autotag-core-runtime 1.2 间接依赖 maven
org.slf4j:slf4j-api 1.7.36 间接依赖 maven
net.jcip:jcip-annotations 1.0 间接依赖 maven
org.apache.tiles:tiles-api 3.0.8 间接依赖 maven
javax.xml.bind:jaxb-api 2.3.1 直接依赖 maven
org.apache.httpcomponents:httpcore 4.4.16 间接依赖 maven
org.apache.tiles:tiles-servlet 3.0.8 间接依赖 maven
org.apache.xmlrpc:xmlrpc-client 3.1.3 直接依赖 maven
org.apache.struts:struts2-convention-plugin 2.5.29 直接依赖 maven
com.jgeppert.struts2.bootstrap:struts2-bootstrap-plugin 4.0.1 直接依赖 maven
org.apache.derby:derbynet 10.11.1.1 直接依赖 maven
org.slf4j:jul-to-slf4j 1.7.36 直接依赖 maven
jakarta.inject:jakarta.inject-api 2.0.1 间接依赖 maven
org.apache.lucene:lucene-queryparser 9.6.0 直接依赖 maven
com.google.j2objc:j2objc-annotations 1.3 间接依赖 maven
org.apache.velocity:velocity-engine-core 2.3 直接依赖 maven
org.apache.logging.log4j:log4j-slf4j-impl 2.20.0 直接依赖 maven
org.springframework:spring-web 5.3.27 直接依赖 maven
org.eclipse.persistence:org.eclipse.persistence.asm 9.5.0 间接依赖 maven
com.rometools:rome 1.19.0 直接依赖 maven
org.slf4j:slf4j-api 1.7.30 间接依赖 maven
org.springframework.security:spring-security-ldap 5.8.3 直接依赖 maven
com.google.inject:guice 6.0.0 直接依赖 maven
org.apache.xmlrpc:xmlrpc-common 3.1.3 直接依赖 maven
org.ow2.asm:asm-commons 9.5 直接依赖 maven
赞 (0)
上一篇 2023年12月5日
下一篇 2023年12月5日

相关推荐

  • Javen205/JPay 软件分析报告

    基础信息 项目名称：Javen205/JPay 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1721295496244187136/1728413830047813632 此报告由Murphysec提供 漏洞列表…

    软件分析 2023年11月25日
    0

  • hollance/MHRotaryKnob 软件分析报告

    基础信息 项目名称：hollance/MHRotaryKnob 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1718636649994043392/1718636650031792128 此报告由Murphyse…

    软件分析 2023年10月29日
    0

  • wikieswan/smartRouter 软件分析报告

    基础信息 项目名称：wikieswan/smartRouter 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1719716407183982592/1719716407259480064 此报告由Murphyse…

    软件分析 2023年11月1日
    0

  • laomu1988/koa2-proxy 软件分析报告

    基础信息 项目名称：laomu1988/koa2-proxy 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1719648750091763712/1719648750964178944 此报告由Murphysec…

    软件分析 2023年11月1日
    0

  • bugsnag/bugsnag-laravel 软件分析报告

    基础信息 项目名称：bugsnag/bugsnag-laravel 项目徽章： 仓库地址：https://github.com/pterodactyl/panel 检测报告地址：https://www.murphysec.com/console/report/1721018593201618944/1721018593243561984 此报告由Murphy…

    软件分析 2023年11月5日
    0