HCL BigFix WebUI 多个安全漏洞 漏洞概述 HCL BigFix WebUI 受多个开源组件漏洞影响，包括 、 、 、 、 等。 影响范围 jws (CVE-2025-65945): 影响 BigFix WebUI Framework Application lodash (CVE-2025-13465): 影响 BigFix WebUI Framework Application path-to-regexp (CVE-2026-4867): 影响 BigFix WebUI Framework Application minimist (CVE-2025-34361): 影响 BigFix WebUI Framework Application node-saml (CVE-2025-54419): 影响 BigFix WebUI Framework Application 修复方案 jws: 升级到 3.2.3 和 4.0.1 版本 lodash: 升级到 4.17.23 版本 path-to-regexp: 升级到 6.3.0 版本 minimist: 升级到 1.2.8 版本 node-saml: 升级到 4.4.19 版本 详细漏洞信息 jws (CVE-2025-65945) CVSS 评分: 7.5 CVSS 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 描述: 是一个用于 Node.js 的 JSON Web 签名实现。在 3.2.2 及更早版本和 4.0.0 及更早版本中，存在不正确的签名验证漏洞。当使用 HS256 算法时，在特定条件下，应用程序可能会使用 函数处理 HMAC 算法，并从 3.2.3 和 4.0.1 版本开始提供数据。此问题已在 3.2.3 和 4.0.1 版本中修补。 lodash (CVE-2025-13465) CVSS 评分: 7.5 CVSS 向量: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:N 描述: lodash 版本 4.0.0 到 4.17.22 在 和 函数中存在原型污染漏洞。攻击者可以传递伪造的路径，使 lodash 从全局原型中删除方法。受影响的方法包括 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、