vlambda博客
学习文章列表

JHipster 是一个快速生成、开发和部署现代 Web 应用程序和微服务架构的开发平台。它主要使用Angular或React和Spring Framework开发Web应用程序和微服务。
JHipster存在SQL注入漏洞，该漏洞源于启用了“使用 Spring WebFlux 反应”选项和使用 r2dbc 的 SQL 数据库生成的应用程序实体中的 SQL 注入漏洞。

Jhipster的某些版本的 Generator-jhipster包含 以下 漏洞：使用启用 SpringWebFlux 的选项和使用r2dbc 的SQL 数据库生成的应用程序实体中的SQL 注入漏洞。不使用Spring WebFlux 创建的应用程序和使用NoSQL 数据库的应用程序不受影响。使用受影响版本生成微服务网关的用户可能会受到影响，因为网关默认是反应式的。目前，在这些应用程序中生成的实体存储库类的findAllBy(Pageable pageable, Criteria criteria) 方法中可以进行 SQL 注入，因为使用 Criteria 进行查询的 where 子句未过滤，用户输入按标准传递。此问题已在 v7.8.1中修复。EntityManager.java通过创建 where 子句时的类Conditions.just(criteria.toString())。just接受提供的文字字符串。Criteria 的toString方法返回一个纯字符串，这种组合很容易受到 sql 注入的影响，因为该字符串没有经过清理，并且将包含使用任何纯SQL 作为输入传递的任何内容。

 jhipster - generator-jhipster版本>= 7.0.0, < 7.8.1

   高危

目前厂商已发布升级补丁以修复漏洞，补丁获取链接:
https://github.com/jhipster/generator-jhipster/security/advisories/GHSA-qjmq-8hjr-qcv6