Node.js 安全发布：Windows 上通过 child_process.spawn 可能存在命令注入

絕刀狂花

发布时间：2025-05-22 10:30:02

623人浏览过

来源于php中文网

原创

node.js 安全发布：windows 上通过 child_process.spawn 可能存在命令注入安全更新现已发布

Node.js 18.x、20.x 和 21.x 版本线现已推出更新，以解决以下问题。

在 Windows 系统上，即使未启用 shell 选项，通过 child_process.spawn 的参数仍可能存在命令注入风险（CVE-2024-27980） - （高风险）

由于 child_process.spawn / child_process.spawnSync 中处理批处理文件的方式不当，恶意命令行参数可以注入任意命令并执行代码，即使未启用 shell 选项也是如此。

影响范围：

此漏洞影响所有当前活动的发布线：18.x、20.x、21.x。感谢 ryotak 报告此漏洞，并感谢 Ben Noordhuis 解决了这一问题。

总结

sematic

一个开源的机器学习平台

下载

Node.js 项目计划在 2024 年 4 月 9 日或之后，为 18.x、20.x、21.x 发布线推出新版本，以解决：

1 个高风险问题

Node.js 的 18.x 发布线受到 1 个高风险问题的影响。Node.js 的 20.x 发布线受到 1 个高风险问题的影响。Node.js 的 21.x 发布线受到 1 个高风险问题的影响。

发布时间

更新将于 2024 年 4 月 9 日或之后发布。

Windows 10怎么查看端口占用_Windows 10使用netstat命令查找进程PID

Win11如何查看端口是否被占用 Win11使用CMD命令查看端口占用情况【技巧】

win11怎么查看端口占用 Win11使用CMD命令查找并结束端口进程【进阶】

Win10系统怎么查看端口占用_Win10 cmd查看端口命令netstat

Win10如何查看端口占用 Win10查询端口并结束进程方法【技巧】

相关标签:

windows 命令行参数 JS windows

本站声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

上一篇：Autodesk Navisworks 2019 安装教程。下一篇：Linux各目录及每个目录的详细介绍(转载)

作者最新文章

巨量百应怎么提升直播间互动热度_巨量百应互动玩法与设置【锦囊】

2025-12-30 15:32

SOFA表情包怎么自定义 SOFA自制表情包上传使用教程【攻略】

2025-12-30 15:35

悟空浏览器社区入口_悟空浏览器用户交流论坛地址

2025-12-30 15:44

小红书短链接怎么还原php_提取分享文案中的链接参数【方法】

2025-12-30 15:59

三星手机怎么绑定三星账户找回数据_三星手机三星账户找回数据教程【方法】

2025-12-30 16:09

flash 如何转成html5_Flash转HTML5方案与迁移技巧【教程】

2025-12-30 16:09

PHP的主流架构都支持哪些数据库_兼容列表【介绍】

2025-12-30 16:22

php怎么优化性能_开启OPcache提升PHP运行速度详解【详解】

2025-12-30 16:27

Win11怎么限制Edge浏览器缓存大小 Win11磁盘空间管理中设定上限防占满【方法】

2025-12-30 16:29

可灵ai如何生成课程介绍文案_可灵ai课程文案结构与亮点突出【方法】

2025-12-30 16:34

热门AI工具

DeepSeek

幻方量化公司旗下的开源大模型平台

AI大模型

开放平台

豆包大模型

字节跳动自主研发的一系列大型语言模型

AI大模型

通义千问

阿里巴巴推出的全能AI助手

AI大模型

腾讯元宝

腾讯混元平台推出的AI助手

文档处理

Excel 表格

文心一言

文心一言是百度开发的AI聊天机器人，通过对话可以生成各种形式的内容。

AI大模型

中文写作

讯飞写作

基于讯飞星火大模型的AI写作工具，可以快速生成新闻稿件、品宣文案、工作总结、心得体会等各种文文稿

中文写作

写作工具

即梦AI

一站式AI创作平台，免费AI图片和视频生成。

图片拼接

图画生成

ChatGPT

最最强大的AI聊天机器人程序，ChatGPT不单是聊天机器人，还能进行撰写邮件、视频脚本、文案、翻译、代码等任务。

AI大模型

中文写作

智谱清言 - 免费全能的AI助手

AI大模型

PDF 文档

相关专题

js正则表达式

php中文网为大家提供各种js正则表达式语法大全以及各种js正则表达式使用的方法，还有更多js正则表达式的相关文章、相关下载、相关课程，供大家免费下载体验。

508

2023.06.20

js获取当前时间

JS全称JavaScript，是一种具有函数优先的轻量级，解释型或即时编译型的编程语言;它是一种属于网络的高级脚本语言，主要用于Web，常用来为网页添加各式各样的动态功能。js怎么获取当前时间呢？php中文网给大家带来了相关的教程以及文章，欢迎大家前来学习阅读。

240

2023.07.28

js 字符串转数组

js字符串转数组的方法：1、使用“split()”方法；2、使用“Array.from()”方法；3、使用for循环遍历；4、使用“Array.split()”方法。本专题为大家提供js字符串转数组的相关的文章、下载、课程内容，供大家免费下载体验。

248

2023.08.03

js是什么意思

JS是JavaScript的缩写，它是一种广泛应用于网页开发的脚本语言。JavaScript是一种解释性的、基于对象和事件驱动的编程语言，通常用于为网页增加交互性和动态性。它可以在网页上实现复杂的功能和效果，如表单验证、页面元素操作、动画效果、数据交互等。

5217

2023.08.17

js删除节点的方法

js删除节点的方法有：1、removeChild()方法，用于从父节点中移除指定的子节点，它需要两个参数，第一个参数是要删除的子节点，第二个参数是父节点；2、parentNode.removeChild()方法，可以直接通过父节点调用来删除子节点；3、remove()方法，可以直接删除节点，而无需指定父节点；4、innerHTML属性，用于删除节点的内容。

470

2023.09.01

js截取字符串的方法

js截取字符串的方法有substring()方法、substr()方法、slice()方法、split()方法和slice()方法。本专题为大家提供字符串相关的文章、下载、课程内容，供大家免费下载体验。

205

2023.09.04

Js中concat和push的区别

Js中concat和push的区别：1、concat用于将两个或多个数组合并成一个新数组，并返回这个新数组，而push用于向数组的末尾添加一个或多个元素，并返回修改后的数组的新长度；2、concat不会修改原始数组，是创建新的数组，而push会修改原数组，将新元素添加到原数组的末尾等等。本专题为大家提供concat和push相关的文章、下载、课程内容，供大家免费下载体验。

217

2023.09.14