同学，您这个项目引入了43个开源组件，存在11个漏洞，辛苦升级一下
Opened this issue · 1 comments
Deleted user commented
检测到 zyune/Hosipatal_SpringBoot-master 一共引入了43个开源组件，存在11个漏洞
漏洞标题：Fastjson 1.2.25-1.2.47版本远程代码执行漏洞
缺陷组件：com.alibaba:fastjson@1.2.46
漏洞编号：
漏洞描述：Fastjson 是Java语言实现的快速JSON解析和生成器，在1.2.25-1.2.47版本中攻击者可通过精心构造的JSON请求，绕过此前修复机制，远程执行任意代码。
漏洞原因：
攻击者可通过白名单类java.lang.Class绕过checkAutotype方法，利用fastjson的cache机制引入恶意类，并调用连接远程rmi主机，通过其中的恶意类执行代码。
影响范围：[1.2.25, 1.2.48)
最小修复版本：1.2.48
缺陷组件引入路径：com.hospipatal:his@0.0.1-SNAPSHOT->com.alibaba:fastjson@1.2.46
另外还有11个漏洞，详细报告：https://mofeisec.com/jr?p=i5a392