关键漏洞信息 漏洞概述 漏洞名称: Missing type checks leading to hash rewind and passing on crafted data CVE ID: CVE-2025-9287 严重性: Critical (9.1/10) 受影响版本: 1.0.4 描述 问题: 和 包在处理恶意的 JSON 可序列化输入时，由于缺少类型检查，导致计算无效值、挂起、哈希状态回退等问题。 影响包: , 等。 细节 PoC: 提供了代码示例，展示了如何通过构造特定输入导致哈希状态回退和未检查结果。 输出: 展示了正常和伪造哈希的对比。 影响 1. 哈希状态回退: 攻击者可以将标记哈希转换为非标记哈希。 2. 值误算: 如碰撞生成，可能导致与原始数据相同的哈希值。 3. DoS: 特定长度的输入可能导致拒绝服务。 4. 后续系统问题: 匹配哈希和不同的数值表示可能导致私钥提取等问题。 5. 其他类型数组: 返回的哈希可能无效，如 的长度被截断。 CVSS v4 基本指标 攻击向量: Network 攻击复杂度: High 攻击需求: Present 所需权限: None 用户交互: None 机密性影响: None 完整性影响: High 可用性影响: High