Erkennungsskript für cve-2021-23358

Erkennungsskript für cve-2021-23358 Ich habe ein Erkennungsskript für CVE-2021-23358 erstellt, das die anfällige Version von node underscore erkennt, unabhängig davon, ob es als Open-Source-Tool installiert ist oder ob nur die Bibliotheken verwendet werden. Dieses Skript hat drei Funktionen: Es erkennt die Versionen von underscore aus

1. Verwendung des direkten npm-Befehls
2. Version, die im Pfad der Bibliotheken geschrieben ist
3. Innerhalb der Bibliothek selbst

Das Paket underscore von 1.13.0-0 und vor 1.13.0-2, von 1.3.2 und vor 1.12.1 ist anfällig für beliebige Code-Injektion über die template-Funktion, insbesondere wenn eine Variableigenschaft als Argument übergeben wird, da sie nicht bereinigt wird. Und die Bibliotheksumgebungen von underscore sind:

1. Node-underscore
2. Libjs-underscore
3. Underscore