CodeMirror 代码问题漏洞

CVE编号

CVE-2020-7760

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-10-31

漏洞描述

CodeMirror是CodeMirror团队的一个使用JavaScript为浏览器实现的多功能文本编辑器。该软件专门用于编辑代码，并具有100多种语言模式和各种插件，可实现更高级的编辑功能，每种语言都带有功能齐全的代码和语法高亮显示，以帮助阅读和编辑复杂代码。 codemirror 5.58.2 之前版本和org.apache.marmotta.webjars：codemirror 5.58.2 之前版本存在代码问题漏洞。该漏洞源于blob/cdb228ac736369c685865b122b736cd0d397836c、mode/javascript/javascript.jsL 129行中的 (s|/*.*?*/)* 正则表达式逻辑错误。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://github.com/codemirror/CodeMirror/commit/55d0333907117c9231ffdf555ae8824705993bbb

参考链接
https://github.com/codemirror/CodeMirror/commit/55d0333907117c9231ffdf555ae88...
https://snyk.io/vuln/SNYK-JAVA-ORGAPACHEMARMOTTAWEBJARS-1024450
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARS-1024449
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-1024445
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWERGITHUBCODEMIRROR-1024448
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWERGITHUBCOMPONENTS-1024446
https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1024447
https://snyk.io/vuln/SNYK-JS-CODEMIRROR-1016937
https://www.debian.org/security/2020/dsa-4789
https://www.oracle.com//security-alerts/cpujul2021.html
https://www.oracle.com/security-alerts/cpuApr2021.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	codemirror	codemirror	*		Up to (excluding) 5.58.2
	运行在以下环境
	系统	debian_10	codemirror-js	*		Up to (excluding) 5.43.0-1+deb10u1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-400 未加控制的资源消耗（资源穷尽）