CVE-2017-5954 是 serialize-to-js 模块中的远程代码执行 (RCE) 漏洞。该漏洞源于对立即调用的函数表达式 (IIFE) 的不安全处理，攻击者可以利用此漏洞在服务器上执行任意代码。受影响的版本包括 1.0.0 之前的版本。建议立即升级至 1.0.0 或更高版本以修复此漏洞。
攻击者可以利用 CVE-2017-5954 漏洞在目标服务器上执行任意代码。攻击者可以通过构造恶意的序列化数据，触发 IIFE 执行，从而执行恶意代码。这可能导致服务器被完全控制，敏感数据泄露，甚至被用于发起进一步的攻击。由于该漏洞的 CVSS 评分为 9.8 (CRITICAL)，其潜在影响非常严重，可能对整个系统造成重大损害。该漏洞的利用方式类似于其他 JavaScript 序列化漏洞，攻击者可以利用其绕过安全措施，执行未经授权的操作。
该漏洞已公开披露，并存在公开的 PoC 代码。目前尚无关于该漏洞被大规模利用的公开报告，但由于其严重性，建议尽快采取措施进行修复。该漏洞已添加到 CISA KEV 目录中，表明其具有较高的风险。攻击者可能会利用此漏洞进行针对性的攻击，因此需要密切关注安全动态。
Applications and services built on Node.js that utilize the serialize-to-js package are at risk. This includes web applications, APIs, and backend services that rely on this package for data serialization and deserialization. Projects using older versions of Node.js or those with complex dependency chains are particularly vulnerable.
• nodejs / server:
npm list serialize-to-jsIf the output shows a version prior to 1.0.0, the system is vulnerable. • nodejs / server:
npm audit serialize-to-jsThis command will identify the vulnerability and suggest an upgrade. • generic web: Examine application logs for any unusual JavaScript execution patterns or errors related to deserialization. Look for patterns resembling the provided PoC payload.
disclosure
patch
漏洞利用状态
EPSS
1.67% (82% 百分位)
CVSS 向量
修复 CVE-2017-5954 漏洞的最佳方法是升级 serialize-to-js 模块至 1.0.0 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意输入，阻止攻击者利用该漏洞。此外，应审查代码，确保对序列化数据进行适当的验证和清理，以防止恶意代码注入。升级后，请验证新版本是否已成功安装并配置，并测试应用程序的功能以确保没有出现任何问题。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2017-5954 是 serialize-to-js 模块中的远程代码执行漏洞，攻击者可以通过构造恶意的序列化数据来执行任意代码。
如果您正在使用 serialize-to-js 的 1.0.0 之前的版本，则可能受到影响。请立即检查您的依赖项版本。
升级 serialize-to-js 模块至 1.0.0 或更高版本。
虽然目前没有大规模利用的公开报告，但由于其严重性，建议尽快采取措施进行修复。
请访问 npm package page: https://www.npmjs.com/package/serialize-to-js#deserialize