3.2. 已解决的问题

CVE-2024-1132: org.keycloak-keycloak-parent: keycloak 路径转换（在重定向验证中）

Keycloak 中发现了一个安全漏洞，它没有正确验证重定向中包含的 URL。此漏洞允许攻击者构建恶意请求，以绕过验证、访问域中的其他 URL 和敏感信息，或者进行进一步攻击。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2023-45857: Axios 1.5 会公开存储在 Cookie 中的机密数据

在 Axios 1.5.1 中发现了一个安全漏洞，它意外发现了存储在 Cookie 中的机密 XSRF-TOKEN，方法是包括每个对任何主机发出的 HTTP 标头 X-XSRF-TOKEN，从而允许攻击者查看敏感信息。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2024-28849: follow-redirects 软件包清除授权标头

在 follow-redirects 软件包中发现了一个安全漏洞，它清除授权标头，但它无法清除 proxy-authentication 标头。此漏洞可能会导致凭证泄漏，这可能会对数据保密性产生重大影响。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2024-29131: Apache Commons Configuration 中的超出边界写漏洞

在 Apache Commons-Configuration2 中发现了一个漏洞，在 AbstractListDelimiterHandler.flattenIterator （） 方法中添加属性时可能会出现 Stack Overflow Error。此问题可能会使攻击者破坏内存或执行拒绝服务(DoS)攻击，它通过设计一个恶意属性，在通过易受攻击的方法处理时触发越界写入问题。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2024-29133: Apache Commons Configuration 中的超出边界写漏洞

在 Apache Commons-Configuration2 中发现了一个漏洞，其中 Stack Overflow Error 在调用带有 cyclical 对象树的 ListDelimiterHandler.flatten (Object, int) 方法时发生。此问题可能会允许攻击者触发越界写入，这可能会导致内存损坏或导致拒绝服务(DoS)附加。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2024-29180: webpack-dev-middleware 缺少 URL 验证可能会导致文件泄漏

webpack-dev-middleware 软件包中发现了一个安全漏洞，在返回本地文件前无法验证提供的 URL 地址。此漏洞允许攻击者制作 URL 来从开发人员的计算机返回任意本地文件。在调用中间件前缺少规范化还允许攻击者对目标环境执行路径遍历攻击。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2023-4639: org.keycloak-keycloak-parent undertow Cookie Smuggling 和 Spoofing

Undertow 中发现了一个安全漏洞，它错误地解析带有传入请求中的特定值限制字符的 Cookie。此漏洞可以让攻击者构建 Cookie 值，以截获 HttpOnly cookie 值或欺骗任意 Cookie 值，从而导致未经授权的数据访问或修改。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2023-36479: com.google.guava-guava-parent addition of quotation marks to user input in Jetty CGI Servlet

Jetty 的 org.eclipse.jetty.servlets.CGI Servlet 中发现了一个安全漏洞，它允许在特定情况下执行不正确的命令，如在请求的文件名中带有某些字符的请求。此问题可能会允许攻击者在请求的命令之外运行允许的命令。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2023-26364: css-tools 不正确的输入验证会导致拒绝服务

在 @adobe/css-tools 中发现了一个安全漏洞，这可能会在解析 CSS 时导致拒绝服务(DoS)。强制环境不需要用户交互和特权。建议用户升级到 MTR 1.2.6，从而解决了这个问题。

CVE-2023-48631: css-tools: 正则表达式拒绝服务

在 @adobe/css-tools 中发现了一个安全漏洞，在尝试解析 CSS 时可能会导致正则表达式拒绝服务(ReDoS)。建议用户升级到 MTR 1.2.6，从而解决了这个问题。