基础信息
项目名称：openvenues/libpostal
项目徽章：
仓库地址：https://github.com/pterodactyl/panel
检测报告地址：https://www.murphysec.com/console/report/1757789103898370048/1757789103940313088
此报告由Murphysec提供
漏洞列表
| 漏洞名称 | 漏洞类型 | MPS编号 | CVE编号 | 漏洞等级 |
|---|---|---|---|---|
| Ruby yajl-ruby gem 安全漏洞 | 使用外部控制的格式字符串 | MPS-2017-12488 | CVE-2017-16516 | 高危 |
| Numpy 安全漏洞 | 不可达退出条件的循环（无限循环） | MPS-2017-9144 | CVE-2017-12852 | 高危 |
| NumPy 代码执行漏洞 | 反序列化 | MPS-2019-0576 | CVE-2019-6446 | 严重 |
| NumPy 缓冲区错误漏洞 | 经典缓冲区溢出 | MPS-2021-25101 | CVE-2021-33430 | 中危 |
| NumPy 安全漏洞 | 不充分的比较 | MPS-2021-25631 | CVE-2021-34141 | 中危 |
| NumPy 代码问题漏洞 | 空指针取消引用 | MPS-2021-32278 | CVE-2021-41495 | 中危 |
| NumPy 安全漏洞 | 经典缓冲区溢出 | MPS-2021-32279 | CVE-2021-41496 | 中危 |
| lxml 注入漏洞 | XSS | MPS-2021-36943 | CVE-2021-43818 | 高危 |
| UltraJSON 安全漏洞 | 越界写入 | MPS-2021-40089 | CVE-2021-45958 | 中危 |
| UltraJSON 安全漏洞 | 控制流实现总是不正确 | MPS-2022-11146 | CVE-2022-31116 | 高危 |
| UltraJSON 资源管理错误漏洞 | 双重释放 | MPS-2022-11147 | CVE-2022-31117 | 中危 |
| boto3 存在信息暴露漏洞 | 未授权敏感信息泄露 | MPS-2022-14769 | 低危 | |
| gevent 存在信息暴露漏洞 | 未授权敏感信息泄露 | MPS-2022-14926 | 中危 | |
| lxml 和 libxml2 代码问题漏洞 | 空指针取消引用 | MPS-2022-46661 | CVE-2022-2309 | 高危 |
| Python 安全漏洞 | ReDoS | MPS-2022-57240 | CVE-2022-40899 | 高危 |
| Gevent 安全漏洞 | MPS-d183-ymbv | CVE-2023-41419 | 严重 | |
| Requests Proxy-Authorization 标头泄露漏洞 | 未授权敏感信息泄露 | MPS-hr61-tzey | CVE-2023-32681 | 中危 |
缺陷组件
| 组件名称 | 版本 | 最小修复版本 | 依赖关系 | 修复建议 |
|---|---|---|---|---|
| ujson | 1.35 | 间接依赖 | 建议修复 | |
| requests | 2.20.0 | 2.31.0 | 间接依赖 | 建议修复 |
| xqilla | 2.3.4 | 间接依赖 | 建议修复 | |
| numpy | 1.10.4 | 间接依赖 | 建议修复 | |
| lxml | 4.6.3 | 4.9.1 | 间接依赖 | 建议修复 |
| gevent | 1.1.2 | 23.9.0 | 间接依赖 | 可选修复 |
| boto3 | 1.4.0 | 1.4.5 | 间接依赖 | 可选修复 |
| future | 0.15.2 | 0.18.3 | 间接依赖 | 可选修复 |
许可证风险
| 许可证类型 | 相关组件 | 许可证风险 |
|---|---|---|
| BSD-2-Clause | 1 | 低 |
| 自定义许可证 | 6 | 低 |
| MIT | 17 | 低 |
| Apache License 2.0 | 3 | 低 |
| BSD-3-Clause | 5 | 低 |
| LGPL-2.1 | 1 | 中 |
| Apache-2.0 | 2 | 低 |
| Python-2.0 | 1 | 低 |
| MIT License | 1 | 低 |
| GPL-2.0-or-later | 1 | 低 |
SBOM清单
| 组件名称 | 组件版本 | 是否直接依赖 | 仓库 |
|---|---|---|---|
| leveldb | 0.193 | 间接依赖 | pip |
| ujson | 1.35 | 间接依赖 | pip |
| python-geohash | 0.8.5 | 间接依赖 | pip |
| OrderedDict | 间接依赖 | pip | |
| lru-dict | 1.1.3 | 间接依赖 | pip |
| sample_alphabet | 间接依赖 | pip | |
| boto3 | 1.4.0 | 间接依赖 | pip |
| pyproj | 1.9.5.1 | 间接依赖 | pip |
| Fiona | 1.6.3.post1 | 间接依赖 | pip |
| groupby | 间接依赖 | pip | |
| pymorphy2-dicts-ru | 2.4.394633.4298366 | 间接依赖 | pip |
| Shapely | 1.5.14 | 间接依赖 | pip |
| wsgiref | 0.1.2 | 间接依赖 | pip |
| chain | 间接依赖 | pip | |
| pycountry | 1.20 | 间接依赖 | pip |
| LateralDirection | 间接依赖 | pip | |
| NumberedComponent | 间接依赖 | pip | |
| geodata | 间接依赖 | pip | |
| future | 0.15.2 | 间接依赖 | pip |
| xqilla | 2.3.4 | 间接依赖 | |
| cdf | 间接依赖 | pip | |
| safe_encode | 间接依赖 | pip | |
| urlnorm | 1.1.3 | 间接依赖 | pip |
| safe_decode | 间接依赖 | pip | |
| Counter | 间接依赖 | pip | |
| AMBIGUOUS_LANGUAGE | 间接依赖 | pip | |
| weighted_choice | 间接依赖 | pip | |
| Rtree | 0.8.2 | 间接依赖 | pip |
| jmespath | 0.9.0 | 间接依赖 | pip |
| ftfy | 4.2.0 | 间接依赖 | pip |
| Digits | 间接依赖 | pip | |
| islice | 间接依赖 | pip | |
| tsv_string | 间接依赖 | pip | |
| requests | 2.20.0 | 间接依赖 | pip |
| unicode_csv_reader | 间接依赖 | pip | |
| quote_plus | 间接依赖 | pip | |
| botocore | 1.4.53 | 间接依赖 | pip |
| click | 6.4 | 间接依赖 | pip |
| izip | 间接依赖 | pip | |
| s3transfer | 0.1.3 | 间接依赖 | pip |
| DoesNotExist | 间接依赖 | pip | |
| isclose | 间接依赖 | pip | |
| pystache | 0.5.4 | 间接依赖 | pip |
| marisa-trie | 0.7.2 | 间接依赖 | pip |
| ADDRESS_LANGUAGE_DATA_FILENAME | 间接依赖 | pip | |
| urljoin | 间接依赖 | pip | |
| setup | 间接依赖 | pip | |
| nested_get | 间接依赖 | pip | |
| WAYS_LANGUAGE_DATA_FILENAME | 间接依赖 | pip | |
| RelativeDirection | 间接依赖 | pip | |
| click-plugins | 1.0.3 | 间接依赖 | pip |
| disambiguate_language | 间接依赖 | pip | |
| gevent | 1.1.2 | 间接依赖 | pip |
| cligj | 0.4.0 | 间接依赖 | pip |
| PyYAML | 5.4 | 间接依赖 | pip |
| recursive_merge | 间接依赖 | pip | |
| Unidecode | 0.4.19 | 间接依赖 | pip |
| numpy | 1.10.4 | 间接依赖 | pip |
| distribute | 0.7.3 | 间接依赖 | pip |
| defaultdict | 间接依赖 | pip | |
| six | 1.10.0 | 间接依赖 | pip |
| greenlet | 0.4.10 | 间接依赖 | pip |
| python-Levenshtein | 0.12.0 | 间接依赖 | pip |
| cssselect | 0.9.1 | 间接依赖 | pip |
| FLOAT_EPSILON | 间接依赖 | pip | |
| Extension | 间接依赖 | pip | |
| futures | 3.0.5 | 间接依赖 | pip |
| lxml | 4.6.3 | 间接依赖 | pip |
| pymorphy2-dicts-uk | 2.4.1.1.1460299261 | 间接依赖 | pip |