极光推送辣鸡

This topic created in 3530 days ago, the information mentioned may be changed or developed.

极光推送官方 Nodejs SDK 竟然 eval 去执行从服务器传回来的代码还“聪明”地用括号括起来，呵呵 https://github.com/jpush/jpush-api-nodejs-client/blob/master/lib/JPush/JPush.js#L448

极光

推送

Nodejs

eval

15 replies • 2017-03-10 18:29:32 +08:00

fyibmsd

Mar 6, 2017

这代码牛逼坏了

bdbai

Mar 6, 2017 via Android

在那个 JSON 还没被浏览器广泛兼容的年代， eval 加括号解析 JSON 是很常见的事...

DoraJDJ

Mar 6, 2017 via Android

@bdbai 不过现在用 JSON.parse 就能解析 JSON 了，如果还在用老掉牙的 eval 会不会造成漏洞利用？

SourceMan

Mar 6, 2017 via iPhone

没毛病

zollum

Mar 7, 2017

已经修改了，官方动作有点快

RenzHoly

Mar 7, 2017

@bdbai 但这里是 node

qfdk

PRO

Mar 7, 2017

要是不改 n 个服务器又会背沦陷了 :)

wangjie

Mar 7, 2017 via iPhone

已经改了 666

xiezefan

Mar 7, 2017

原谅提交这行代码的那位可怜的爪哇程序猿......

coderzheng

Mar 7, 2017

奇怪， V 站没改主题啊，为啥这个页面打开是黑色背景的。

run2

Mar 7, 2017

@coderzheng #9 节点自带主题

blame 找到了的“罪魁祸首”
https://github.com/jpush/jpush-api-nodejs-client/commit/d2b5ce94c9f2cc240c602f49a00cfb9005b47970

jych1224

Mar 7, 2017

我想知道你是如何发现的

bdbai

Mar 7, 2017 via Android

@DoraJDJ @RenzHoly 确实有安全问题，只是看到楼主一脸诧异的样子...

RenzHoly

Mar 9, 2017

@jych1224 它们的服务器出了问题，发出来一个不完整的 json ， eval 出错，导致我们的服务重启。看日志发现的

Fontaine

Mar 10, 2017

我想说 468 行 if (method === 'POST' || method === 'post') 你就是不会 method.toLowerCase() === 'post' 吗