CVE-2024-21534-poc

漏洞: CVE-2024-21534

严重性: 严重 (CVSS 评分: 9.8)

描述:

jsonpath-plus 包（版本 <= 10.0.7）存在一个远程代码执行 (RCE) 漏洞，攻击者能够通过 Node.js 的 VM 模块执行任意代码。此漏洞由输入验证不足导致，影响 10.0.7 及以下版本。

影响:

成功利用此漏洞可能导致受影响的系统完全沦陷。

缓解措施:

1. 升级 jsonpath-plus： 更新至 10.0.8 或更高版本。
2. 输入验证： 对 JSONPath 表达式实施严格的输入验证，防止恶意输入。
3. VM 模块使用： 尽量减少 VM 模块的使用，并严格控制其执行环境。
4. 组件更新： 保持所有依赖项为最新版本。
5. Web 应用防火墙 (WAF)： 部署 WAF 以检测并阻止 Web 攻击。
6. 安全审计： 定期进行安全审计，发现并修复漏洞。

参考资料:

• https://github.com/JSONPath-Plus/JSONPath/issues/226

注意:

此漏洞由 Andrea Angelo Raineri 发现并报告。