安全发布可用
对于以下问题,现在为 18.x、20.x、21.x Node.js 发布线提供了更新。
在 Windows 上未启用 shell 选项的情况下通过 child_process.spawn 的 args 参数进行命令注入(CVE-2024-27980)- (高风险)
由于在 child_process.spawn / child_process.spawnSync
中批处理文件的处理不当,恶意命令行参数可以注入任意命令并实现代码执行,即使未启用 shell 选项也是如此。
影响:
感谢 ryotak 报告此漏洞,感谢 Ben Noordhuis 修复了此问题。
总结
Node.js 项目将于 2024 年 4 月 9 日或之后发布 18.x、20.x、21.x 发布线的新版本,以解决:
影响
Node.js 的 18.x 发布线受到 1 个高风险问题的影响。Node.js 的 20.x 发布线受到 1 个高风险问题的影响。Node.js 的 21.x 发布线受到 1 个高风险问题的影响。
发布时间
发布将在 2024 年 4 月 9 日或之后提供。