| 漏洞类型 | 输入验证不恰当 | 发现时间 | 2025-06-24 | 漏洞等级 | 严重 |
| MPS编号 | MPS-ailh-k1fp | CVE编号 | CVE-2025-6547 | 漏洞影响广度 |
漏洞危害
| OSCS 描述 |
| pbkdf2 是一个开源的 NPM 组件，提供了 PBKDF2 (Password-Based Key Derivation Function 2) 算法的 JavaScript 实现。它主要用于从用户密码中安全地派生出加密密钥，以增强密码存储的安全性。 受影响版本中，在 Node.js 3.0.0 以下运行时，toBuffer 函数处理 Uint8Array 输入存在缺陷。由于旧版不完全支持 Buffer.from()，导致转换失败并返回空 Buffer，最终加密模块使用空密码和盐值派生出可预测的固定密钥。 修复版本中，toBuffer 函数新增环境检测逻辑，若不支持 Buffer.from()，则回退使用 new Buffer()，确保 Uint8Array 正确转换为 Buffer，兼容所有支持的 Node.js 版本。 检查受影响密钥的用途（如加密或哈希），并对相关数据补救。 参考链接：https://www.oscs1024.com/hd/MPS-ailh-k1fp |
影响范围及处置方案
OSCS 平台影响范围和处置方案
| 影响范围 | 处置方式 | 处置方法 |
| pbkdf2 (-∞, 3.1.3) | 升级 | 将组件 pbkdf2 升级至 3.1.3 及以上版本 |
| 参考链接：https://www.oscs1024.com/hd/MPS-ailh-k1fp | ||
排查方式
| 方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html |
| 方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
| 方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html |
| 更多排查方式：https://www.murphysec.com/docs/faqs/integration/ |
本文参考链接
https://www.oscs1024.com/hd/MPS-ailh-k1fp
https://nvd.nist.gov/vuln/detail/CVE-2025-6547
https://github.com/browserify/pbkdf2/commit/e3102a8cd4830a3ac85cd0dd011cc002fdde33bb
https://github.com/browserify/pbkdf2/security/advisories/GHSA-v62p-rq8g-8h59
