shopify-scripts

shopify-scripts 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 拒绝服务80
• 内存破坏69
• 代码执行4
• 其他弱点4
• 错误配置3
• 信息泄露1

主要弱点

• 资源消耗失控80
• 内存破坏（通用）45
• 空指针解引用10
• Unlabeled4
• 代码注入4
• 堆溢出3
• 违反安全设计原则（按标题归类）3
• Unlabeled3
• 释放后使用2
• 越界读2

常见资产

• · 161

高票报告

当前状态 156 份 · 全部 161

1. 60
   DoS: type confusion in mrb_no_method_error拒绝服务 · 2017-03-02 · 严重
   $0资源消耗失控
2. 40
   Type confusion in mrb_exc_set leading to memory corruption拒绝服务 · 2016-12-17 · 严重
   $0资源消耗失控
3. 37
   Crash in mrb_ary_push内存破坏 · 2019-09-04 · 未评级
   $800空指针解引用
4. 35
   Type confusion in wrap_decimal leading to memory corruption代码执行 · 2017-01-16 · 严重
   $0代码注入
5. 33
   Buffer overflow in yywarning_s内存破坏 · 2019-09-04 · 未评级
   $1,000经典缓冲区溢出
6. 29
   Use after free vulnerability in mruby Array#to_h causing DOS possible RCE代码执行 · 2016-12-17 · 严重
   $0代码注入
7. 23
   Invalid handling of zero-length heredoc identifiers leads to infinite loop in the sandbox拒绝服务 · 2017-01-12 · 高危
   $10,000资源消耗失控
8. 23
   TOCTTOU bug in mrb_str_setbyte leading the memory corruption代码执行 · 2016-12-17 · 严重
   $0代码注入
9. 20
   Crash: Overwriting NoMethodError with a builtin class crashes/corrupts memory内存破坏 · 2017-03-01 · 高危
   $10,000内存破坏（通用）
10. 15
    Null pointer dereference due to TOCTTOU bug in mrb_time_initialize拒绝服务 · 2017-01-16 · 高危
    $0资源消耗失控
11. 14
    Segmentation fault when a Ruby method is invoked by a C method via Object#send拒绝服务 · 2017-04-14 · 高危
    $8,000资源消耗失控
12. 14
    Null target_class DoS拒绝服务 · 2016-12-17 · 高危
    $8,000资源消耗失控
13. 14
    Segfault and/or potential unwanted (byte)code execution with "break" and "||=" inside a loop拒绝服务 · 2016-12-17 · 高危
    $10,000资源消耗失控
14. 14
    Struct type confusion RCE代码执行 · 2016-12-17 · 严重
    $18,000代码注入
15. 13
    SIGABRT - mrb_default_allocf内存破坏 · 2017-02-05 · 低危
    $0内存破坏（通用）
16. 13
    Buffer overflow in mrb_time_asctime拒绝服务 · 2016-12-18 · 高危
    $10,000资源消耗失控
17. 13
    Exception cause SIGABRT拒绝服务 · 2016-12-17 · 高危
    $0资源消耗失控
18. 12
    Heap buffer oveflow with many arguments内存破坏 · 2017-02-28 · 未评级
    $800内存破坏（通用）
19. 12
    Clearing , Shifting and Pop Value from Frozen Array错误配置 · 2017-08-30 · 低危
    $0违反安全设计原则（按标题归类）
20. 12
    Deleting Key-value pair from Frozen HASH or Clearing a Frozen HASH错误配置 · 2017-01-06 · 低危
    $0违反安全设计原则（按标题归类）
21. 12
    Certain inputs cause tight C-level recursion leading to process stack overflow内存破坏 · 2017-03-15 · 高危
    $10,000内存破坏（通用）
22. 10
    Segmentation fault on program counter内存破坏 · 2017-02-05 · 低危
    $0内存破坏（通用）
23. 10
    Crash: Initialize Decimal with itself triggers an assertion其他弱点 · 2016-12-17 · 高危
    $10,000Unlabeled
24. 10
    Broken handling of maximum number of method call arguments leads to segfault拒绝服务 · 2016-12-21 · 高危
    $10,000资源消耗失控
25. 10
    NULL pointer dereference when parsing ternary operators拒绝服务 · 2016-12-17 · 高危
    $0资源消耗失控