MeterSphere <2.5.0 存在 SSRF 漏洞-低调大师

MeterSphere <2.5.0 存在 SSRF 漏洞

2022-12-28 524

漏洞描述

MeterSphere 是一款涵盖测试管理、界面测试、UI测试和性能测试等功能的一站式开源测试平台。

由于 IssueProxyResourceService::getMdImageByUrl 未对用户传入的 url 参数进行过滤，攻击者可通过向 /md/get/url 端点发送包含恶意 url 参数的请求访问 MeterSphere 系统内部资源，或者发送包含恶意 JavaScript 代码的 url 参数进行反射型 XSS 攻击。

漏洞名称	MeterSphere <2.5.0 存在 SSRF 漏洞
漏洞类型	SSRF
发现时间	2022-12-28
漏洞影响广度	小
MPS编号	MPS-2022-1971
CVE编号	CVE-2022-23544
CNVD编号	-

影响范围

metersphere/metersphere@(-∞, 2.5.0)

修复方案

升级metersphere/metersphere到 2.5.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1971

https://nvd.nist.gov/vuln/detail/CVE-2022-23544

https://github.com/metersphere/metersphere/security/advisories/GHSA-vrv6-cg45-rmjj

https://github.com/metersphere/metersphere/commit/d0f95b50737c941b29d507a4cc3545f2dc6ab121

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/222999

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

网页多语言翻译 js v2.0，增加网页局部翻译能力

软件简介网页自动翻译，页面无需另行改造，加入两行js即可让你的网页快速具备多国语言切换能力！升级说明可自定义忽略的Tag标签，进行翻译时会忽略之可自定义忽略的class，进行翻译时会忽略之默认内置 class="ignore" 为忽略的class，可在某个标签上增加此属性，即可使其跳过不进行翻译。增加缓存机制，翻译一次后会将结果进行缓存，翻译过后，再查看，会达到秒翻译的结果，极大提高体验度。增加局部翻译的能力，可支持自定义翻译的区域。优化 input 输入框的 placeholder 的内容不翻译的问题优化本地使用（file协议）时无法测试的问题。现在本地也能正常使用及测试了。修复翻译时会莫名其妙多了无数层font标签的问题修复翻译时，像是中文翻译为韩语，鼠标多经过几次会将其翻译的韩语重复翻译导致翻译结果不准确的问题。在线体验 http://res.zvo.cn/translate/demo.html 快速使用在你的网页最末尾，</html>之前，加入以下代码，会在页面的最底部出现选择语言的标签： <script src="//res...

2022-12-28

435

操作系统产业峰会2022于12月28日在线上举办，本次峰会由开放原子开源基金会、中国软件行业协会、CCF（中国计算机学会）开源专委会、绿色计算产业联盟、中关村科学城管委会共同主办，以“立根铸魂崛起数智时代”为主题，汇聚全产业链力量，聚焦基础软件核心能力构建，引领基础软件持续创新。过去一年，欧拉加速发展。截至目前，欧拉累计装机量超过300万套，中国服务器操作系统新增市场份额超过25%。欧拉已构筑关键技术根基和创新机制，并实现规模部署在各行各业核心系统，形成商业的正循环，还打通了从处理器、整机、OSV、ISV的完整产业链生态，充分激发产业链活力，从技术创新，到加速用户规模部署，伙伴商业成功反哺社区贡献，加大技术创新投入，从而形成一个正循环、自加速的生态发展体系。这是中国第一次在基础软件领域，依托全产业链力量，构筑关键技术根基，通过开源共建的方式，快速跨越一个技术路线的生态拐点。欧拉正在成为各行业数字化转型的首选，也正在成为中国数字基础设施坚实的软件底座。会上，2022年度openEuler领先商业实践奖项揭晓；中国科学院软件研究所联合多家机构和厂商发布基于openEuler的RIS...

2022-12-28

310

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。