漏洞概述 在Node.js环境中，使用 方法时，如果传入未受信任的变量，可能导致任意代码执行。该漏洞存在于 库的公共API中。 影响范围 受影响API： 根本原因： - 方法基于字符串生成代码。 - 变量值在代码生成过程中被强制转换为字符串。 - 生成的源代码直接传递给 ，没有进行隔离。 - 如果提供未受信任的对象作为变量，可能导致副作用或代码执行。 影响： - 当使用 时，如果传入未受信任的用户输入或攻击者控制的变量，攻击者可能在Node.js进程中执行任意JavaScript代码。 - 这对于向用户暴露表达式评估的应用程序尤其相关。 - 重用编译后的表达式以提高性能时，也可能存在风险。 修复方案 当前状态：该漏洞尚未修复，页面中未提供具体的修复方案。 建议： - 避免在 中使用未受信任的变量。 - 对输入进行严格验证和过滤，确保不会引入恶意代码。 - 考虑使用更安全的替代方案，如沙箱环境来执行动态生成的代码。 概念验证（POC） 页面中提供了一个概念验证（PoC）链接，用于演示该漏洞： 该PoC展示了以下行为： 执行任意JavaScript代码 访问文件系统 通过Node.js API执行命令 备注 该报告不声称浏览器影响。 该报告不声称沙箱逃逸保证。 关注点是可能导致Node.js中任意代码执行的不安全使用模式。 报告者负责任地报告此漏洞，并愿意协调披露或文档指导。 总结 该漏洞涉及 库中的 方法，在Node.js环境中使用未受信任的变量时可能导致任意代码执行。建议避免使用未受信任的输入，并对输入进行严格验证。