semantic-release 信息泄露漏洞

CNNVD-ID编号	CNNVD-202206-959
CVE编号	CVE-2022-31051
发布时间	2022-06-09
更新时间	2022-06-10
漏洞类型	信息泄露
漏洞来源	N/A
危险等级	N/A
威胁类型	N/A
厂商	N/A

漏洞介绍

semantic-release是semantic-release开源的用于自动化整个包发布工作流程，包括：确定下一个版本号、生成发布说明和发布包。 semantic-release 17.0.4版本存在信息泄露漏洞，该漏洞源于如果包含被`encodeURI`从uri编码中排除的字符，会被semantic-release 释放，导致信息泄露。

漏洞补丁

目前厂商已发布升级了semantic-release 信息泄露漏洞的补丁，semantic-release 信息泄露漏洞的补丁获取链接： https://github.com/semantic-release/semantic-release/security/advisories/GHSA-x2pg-mjhr-2m5x

参考网址

来源:CONFIRM

链接：https://github.com/semantic-release/semantic-release/security/advisories/GHSA-x2pg-mjhr-2m5x
来源:MISC

链接：https://github.com/semantic-release/semantic-release/commit/58a226f29c04ee56bbb02cc661f020d568849cad
来源:MISC

链接：https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/encodeURI
来源:MISC

链接：https://github.com/semantic-release/semantic-release/releases/tag/v19.0.3

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202206-959