根据其自我报告的版本号，Underscore.js 的版本为 1.12.1 之前的1.3.2版或 1.13.0-2 之前的 1.13.x 版。因此，当变量选项取自 _.templateSettings 时，它可能会通过模板函数受到任意代码注入的影响。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 21.04 主机上安装的程序包受到 USN-4913-2 公告中提及的漏洞的影响。

    USN-4913-1 修复了 Underscore 中的多个漏洞。此更新提供针对 Ubuntu 21.04 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022: 6393 公告中提及的多个漏洞影响。

  - jquery：存在跨站脚本，这是 injQuery.htmlPrefilter 方法不当所致 (CVE-2020-11022)

  - jquery：通过传递给 DOM 操纵方法的 HTML 中的 <option> 标签执行不受信任的代码 (CVE-2020-11023)

  - springframework：通过恶意输入导致插入额外的日志条目 (CVE-2021-22096)

  - nodejs-underscore：通过模板函数造成任意代码执行 (CVE-2021-23358)

  - ovirt-log-collector：记录 RHVM 管理员密码时未执行筛选 (CVE-2022-2806)

  - moment：导致 DoS 的低效解析算法 (CVE-2022-31129)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera Unifier 版本受到 2023 年 1 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：用户界面 (UnderscoreJS)）。支持的版本中受影响的为 18.8、19.12、20.12、21.12 和 22.12。
    难以利用的漏洞允许高权限攻击者通过 HTTP 进行网络访问，从而危害 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限，以及对 Primavera Unifier 可访问数据子集进行未经授权的读取访问。(CVE-2021-23358)     
  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：事件流和通信 (Apache kafka)）。支持的版本中受影响的为 18.8、19.12、20.12、21.12 和 22.12。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功利用此漏洞进行攻击可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁出现崩溃（完整 DOS）。
    (CVE-2022-34917)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：Document Management (jackson-databind)）。支持的版本中受影响的为 18.8、19.12、20.12、21.12 和 22.12。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而危害 Primavera Unifier。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功攻击此漏洞可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁崩溃（完全 DOS）。(CVE-2022-42003)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 20.10 主机上安装的程序包受到 USN-4913-1 公告中提及的一个漏洞影响。

  - 从 1.13.0-0 到 1.13.0-2 以及从 1.3.2 到 1.12.1 版本的软件包下划线容易通过模板函数发生任意代码注入，特别是当变量属性作为参数传递时，因为它未经审查。(CVE-2021-23358)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程主机上运行的 Tenable Nessus 应用程序为低于 10.1.0 的 10.x 或低于 8.15.3 的 8.x。因此，其会受到第三方库中以下一个漏洞的影响：

  - 从 1.13.0-0 到 1.13.0-2 以及从 1.3.2 到 1.12.1 版本的软件包下划线容易通过模板函数发生任意代码注入，特别是当变量属性作为参数传递时，因为它未经审查。(CVE-2021-23358)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 从 1.13.0-0 到 1.13.0-2 以及从 1.3.2 到 1.12.1 版本的软件包下划线容易通过模板函数发生任意代码注入，特别是当变量属性作为参数传递时，因为它未经审查。(CVE-2021-23358)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 2865 公告中提及的多个漏洞的影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ua-parser-js: 通过 regex 造成的正则表达式拒绝服务 (CVE-2020-7733)

  - nodejs-path-parse：通过 splitDeviceRe、splitTailRe 和 splitPathRe 造成的 ReDoS (CVE-2021-23343)

  - nodejs-underscore：通过模板函数造成任意代码执行 (CVE-2021-23358)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本，远程主机上安装的 Tenable SecurityCenter 应用程序版本低于 5.19.0，因此会受到以下组件中多个漏洞的影响： 
  - Apache FOP
  - Underscore
  - Handlebars
  - PHP
  - sqlite

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

node-underscore 和 libjs-underscore 容易通过模板函数发生任意代码执行，特别是当变量属性作为参数传递时，因为它未经审查。

对于 Debian 9 Stretch，已在版本 1.8.3~dfsg-1+deb9u1 中修复此问题。

我们建议您升级 underscore 程序包。

如需了解 underscore 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/underscore

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

据发现，Underscore JavaScript 库的 template() 函数中缺少输入审查可导致任意代码执行。

远程主机上运行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-15978 公告中提及的一个漏洞影响。

  - 从 1.13.0-0 到 1.13.0-2 以及从 1.3.2 到 1.12.1 版本的软件包下划线容易通过模板函数发生任意代码注入，特别是当变量属性作为参数传递时，因为它未经审查。(CVE-2021-23358)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112982	Underscore.js 1.3.2 < 1.12.1 任意代码注入	Web App Scanning	Component Vulnerability	2021/9/23	2023/3/14	high
112983	Underscore.js 1.13.x < 1.13.0-2 任意代码注入	Web App Scanning	Component Vulnerability	2021/9/23	2023/3/14	high
149044	Ubuntu 21.04：Underscore 漏洞 (USN-4913-2)	Nessus	Ubuntu Local Security Checks	2021/4/28	2024/10/29	high
164843	RHEL 8：RHV Manager (ovirt-engine) [ovirt-4.5.2] 错误修正和 (RHSA-2022: 6393)	Nessus	Red Hat Local Security Checks	2022/9/8	2025/1/24	high
170193	Oracle Primavera Unifier（2023 年 1 月 CPU）	Nessus	CGI abuses	2023/1/20	2024/10/23	high
148555	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：下划线漏洞 (USN-4913-1)	Nessus	Ubuntu Local Security Checks	2021/4/14	2024/8/27	high
157339	Tenable Nessus 10.x < 10.1.0 / 8.x < 8.15.3 第三方漏洞 (TNS-2022-04)	Nessus	Misc.	2022/2/3	2023/11/17	high
223685	Linux Distros 未修补的漏洞: CVE-2021-23358	Nessus	Misc.	2025/3/4	2025/8/18	high
152005	RHEL 8：RHV Manager (ovirt-engine) 安全更新 [ovirt-4.4.7]（中等）(RHSA-2021: 2865)	Nessus	Red Hat Local Security Checks	2021/7/22	2024/11/7	high
152986	Tenable SecurityCenter < 5.19.0 多个漏洞 (TNS-2021-14)	Nessus	Misc.	2021/9/3	2024/5/10	critical
148275	Debian DLA-2613-1：underscore 安全更新	Nessus	Debian Local Security Checks	2021/4/1	2024/1/12	high
148300	Debian DSA-4883-1：underscore - 安全更新	Nessus	Debian Local Security Checks	2021/4/2	2024/1/12	high
216853	Atlassian Jira Service Management Data Center and Server 10.3.1 (JSDSERVER-15978)	Nessus	Misc.	2025/2/26	2025/2/26	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

critical

high

high

high