Vue 涉及國(guó)家安全漏洞？尤雨溪親自回應(yīng)
兩張來(lái)源不明的截圖今日在業(yè)內(nèi)被廣泛傳播，其內(nèi)容是國(guó)家有關(guān)部門(mén)要求境內(nèi)黨政機(jī)關(guān)和重要企事業(yè)單位對(duì)兩款開(kāi)源項(xiàng)目 SonarQube 和 Vue.js 的使用情況進(jìn)行組織排查，重點(diǎn)是政府服務(wù)平臺(tái)。原因是有關(guān)部門(mén)通報(bào)境外黑客正在組織利用 SonarQube 和 Vue.js 對(duì)上述單位實(shí)施網(wǎng)絡(luò)攻擊探測(cè)。
Vue.js 創(chuàng)始人尤雨溪獲悉此事后，迅速進(jìn)行了回應(yīng)，他表示 Vue 對(duì)于安全問(wèn)題十分重視，但他們近期并沒(méi)有收到漏洞報(bào)告。而且截圖中提到的漏洞是純粹的后端 API 鑒權(quán)漏洞，跟前端和 Vue 沒(méi)有任何關(guān)系。除此之外，他們沒(méi)有找到任何關(guān)于 Vue 的漏洞披露。公開(kāi)的 CVE 數(shù)據(jù)庫(kù)中目前也沒(méi)有任何針對(duì) Vue.js 本身的漏洞。而且 Vue 作為開(kāi)源項(xiàng)目，又是以 JavaScript 源碼形式發(fā)布的前端項(xiàng)目，每一行代碼都公開(kāi)接受任何安全審計(jì)。Vue 2 發(fā)布至今已經(jīng) 5 年多，在全球業(yè)界被廣泛使用，期間從未有被發(fā)現(xiàn)過(guò)真正意義上的安全漏洞。
尤雨溪在回應(yīng)中指出“前端框架無(wú)法被黑客用于滲透”，解釋了 XSS 攻擊手段，同時(shí)對(duì)過(guò)往關(guān)于 Vue.js 的一些“漏洞”報(bào)告也進(jìn)行了說(shuō)明——主要原因是開(kāi)發(fā)者將用戶上傳的任意 HTML 內(nèi)容當(dāng)作 Vue 模版或是 v-html 數(shù)據(jù)使用。而這種做法無(wú)論是否使用了 Vue 都會(huì)導(dǎo)致 XSS。
最后尤雨溪說(shuō)道，Vue 本身并不存在任何安全性問(wèn)題。也因此，他們對(duì)于 Vue 被列入排查感到很困惑，如果知道詳情或是漏洞細(xì)節(jié)的朋友，可發(fā)郵件到 security@vuejs.org 通知 Vue.js 團(tuán)隊(duì)。
根據(jù)在網(wǎng)上的公開(kāi)信息，近期能找到的是 2021 年 11 月關(guān)于 SonarQube 漏洞的報(bào)道：
網(wǎng)傳 SonarQube 平臺(tái)漏洞被利用，大量源碼泄露