esm.sh CDN 服务存在通过 tarslip 实现任意文件写入漏洞，位于 github.com/esm-dev/esm.sh

攻击者可以利用此漏洞在 esm.sh CDN 服务上写入任意文件。这可能导致多种严重后果，包括恶意代码注入、敏感信息泄露、甚至完全控制受影响的应用程序。攻击者可以修改依赖项，从而影响所有使用该 CDN 的项目。由于 esm.sh CDN 被广泛用于 JavaScript 模块的托管，因此该漏洞的潜在影响范围非常广泛，可能影响大量应用程序和用户。类似攻击可能导致供应链攻击，攻击者通过污染 CDN 上的模块来影响下游用户。

Organizations relying on the esm.sh CDN service for delivering JavaScript packages are at risk. This includes developers and teams using Node.js, React, Angular, or other JavaScript-based frameworks. Specifically, those using older versions of the github.com/esm-dev/esm.sh component are vulnerable.

• go: Inspect the github.com/esm-dev/esm.sh component for versions prior to 0.0.0-20251117232647-9d77b88c3207 using go list -m github.com/esm-dev/esm.sh. • generic web: Monitor CDN logs for unusual file write activity, particularly requests containing suspicious file paths or payloads. • generic web: Use curl to probe for potential file write endpoints, attempting to write files to unexpected locations. Example: curl -X POST -d '...' <cdn_url>/path/to/potential/write/endpoint

1. 2025-11-25Disclosure

   disclosure

1. 已保留2025-11-13
2. 发布日期2025-11-25
3. 修改日期2026-03-03
4. EPSS 更新日期2026-03-23

最有效的缓解措施是升级到修复版本 0.0.0-20251117232647-9d77b88c3207。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，阻止攻击者利用 tarslip 漏洞。此外，审查 esm.sh CDN 的配置，确保其安全性，并定期扫描依赖项是否存在已知漏洞。升级后，请验证新版本是否已成功部署，并检查系统日志是否存在异常活动。