React/Angular 库中的漏洞何时会产生危险？

Question

我目前正在研究网络安全，我发现有几个与 React/Angular 中使用的库相关的 CVE。

例如：

│ Critical      │ Prototype Pollution in minimist                              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ minimist                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular/cli                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular/cli > @schematics/update > pacote >                 │
│               │ npm-registry-fetch > make-fetch-happen > cacache >           │
│               │ move-concurrently > copy-concurrently > mkdirp > minimist    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://github.com/advisories/GHSA-xvch-5gv4-984h     

我的问题是：

在这个极简主义示例中，某人怎么可能由于此漏洞而攻击服务器（或以任何方式损害网站）？

或者只有在入侵服务器后才能利用这些漏洞？

Answer 1

这个问题太宽泛，但我首先要说的是 @angular/cli 在开发人员笔记本电脑或构建服务器中运行。因此，在利用其上的漏洞之后，您必须考虑到，例如，如果您进行操作以制作恶意可执行文件，则必须将其移动到服务器，并以某种方式在服务器中执行，这意味着非强化权限和触发器。