esm.sh 在 github.com/esm-dev/esm.sh 中存在文件包含问题 (File Inclusion issue)

此文件包含漏洞允许攻击者通过构造恶意请求，访问服务器上的任意文件。攻击者可以利用此漏洞读取配置文件、源代码或其他敏感数据。攻击者可能利用这些信息进一步攻击系统，例如获取数据库凭据或执行代码。由于 esm.sh 广泛用于 JavaScript 模块的托管，因此该漏洞的影响范围可能非常广泛，可能影响依赖于 esm.sh 的应用程序。

Applications and services that rely on esm.sh to load JavaScript modules are at risk. This includes projects using modern JavaScript build tools and frameworks. Developers who have integrated esm.sh into their workflows should prioritize upgrading to the patched version.

• go / server:

find /path/to/esm.sh -type f -name '*.go' -print0 | xargs -0 grep -i 'include' -A 5

• generic web:

curl -I https://your-esm-sh-instance/path/to/vulnerable/file?file=../../../../etc/passwd

1. 2025-09-24Disclosure

   disclosure

1. 已保留2025-09-12
2. 发布日期2025-09-24
3. 修改日期2026-03-03
4. EPSS 更新日期2026-03-23

缓解此漏洞的首要措施是立即升级至 esm.sh 的 136.0.1 或更高版本。如果无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 来过滤恶意请求，阻止攻击者利用此漏洞。此外，应审查 esm.sh 的配置，确保没有不必要的权限或文件访问。在升级后，请验证升级是否成功，并检查系统日志中是否有任何异常活动。