TypeScript库中的严重漏洞：威胁数百万个项目

流行TypeScript库中的严重漏洞：开发者需要了解什么

2025年3月25日，安全团队在TypeScript生态系统中最流行的库之一——ts-utils-core中记录了一个严重漏洞（CVE-2024-XXXXX）。该库被GitHub上超过50,000个项目使用，包括大型企业解决方案和初创公司。该漏洞允许攻击者在服务器上远程执行任意代码，从而危及数据完整性和应用程序运行。

漏洞详情

问题与函数parseConfig中输入数据的不正确处理有关，该函数负责解析配置文件。由于类型验证不足，攻击者可以传递一个特制的JSON对象，导致在应用程序上下文中执行任意JavaScript代码。受影响的库版本为4.0.0至4.7.3。

潜在后果

• 远程代码执行（RCE）——攻击者可以完全控制服务器。
• 数据泄露——访问机密信息、API密钥和数据库。
• 用户受损——如果该库在客户端使用，则可能在浏览器中运行恶意代码。
• 拒绝服务（DoS）——错误的输入可能导致应用程序崩溃。

如何保护您的项目

该库的开发者已在版本4.7.4中发布了补丁。如果您使用ts-utils-core，强烈建议您：

• 立即将依赖项更新到4.7.4或更高版本，命令为：npm install ts-utils-core@latest。
• 检查传递依赖项中是否使用了易受攻击的版本（使用npm audit或yarn audit）。
• 如果无法更新，请临时在代码中禁用parseConfig函数。
• 启用TypeScript的严格类型检查（在tsconfig.json中设置strict: true），以降低未来出现类似错误的风险。

安全建议

此事件提醒我们定期审计依赖项的重要性。使用自动更新工具，如Dependabot或Renovate，并订阅GitHub的安全通知。对于关键项目，建议实施最小权限策略，并在沙箱中隔离第三方代码的执行。

请关注PythonLib上的更新——我们将继续向您通报编程和安全领域的重要事件。