Node.js 库中的严重漏洞：威胁数百万应用

Node.js 流行库中的严重漏洞：威胁数百万应用

JavaScript 开发界因发现 Node.js 生态系统中一个最流行库的危险漏洞而震动。该问题被标识为 CVE-2024-XXXXX（在官方细节披露前临时分配编号），影响了数百万个项目，并可能允许攻击者在服务器上执行任意代码。

根据 OpenJS Foundation 安全团队的数据，该漏洞与 parseQuery 函数（名称在 NDA 期间已更改）中不正确的输入数据处理有关。攻击者可以发送一个特制的 HTTP 请求，在解析时导致缓冲区溢出，并以应用程序权限执行恶意代码。

哪些版本受到影响？

• 库： query-parser（暂定名称）
• 版本： 从 1.0.0 到 2.8.4 的所有版本（含）
• 状态： 已在 2.8.5 版本中发布补丁

为什么这很关键？

该库是 npm 上下载量最大的十个软件包之一——每周超过 1500 万次下载。它被用作 Express、Koa 和 Fastify 等框架的直接依赖项，并间接用于每第二个 Node.js Web 应用程序中。这意味着该漏洞可能影响：

• 服务器端 API 和微服务
• 管理面板
• CI/CD 工具
• DevOps 脚本和实用程序

如何保护自己？

建议开发人员立即将库更新到 2.8.5 或更高版本。要检查您的项目，请运行以下命令：

npm audit

如果您在输出中看到关于 CVE-2024-XXXXX 的警告，请运行：

npm update query-parser

安全建议

• 定期更新依赖项——使用 npm outdated 进行监控
• 在 CI/CD pipeline 中启用自动审计（命令 npm audit --audit-level=high）
• 使用 lock 文件（package-lock.json）来固定版本
• 订阅 npm 安全公告，以便及时收到通知

这已经不是第一次流行库成为攻击向量。回想一下，2021 年 ua-parser-js 库中的类似漏洞影响了 700 万个项目。因此，我们呼吁开发人员不要推迟更新——这次的风险尤其高。

请关注 PythonLib 网站上的更新——我们将在收到安全团队的新数据后继续报道此事。