我们非常高兴地宣布，Express.js 已成功完成由 Ada Logics 进行并由 OSTIF 协助的全面安全审计。这次对我们框架及其核心组件的广泛审查，标志着我们在确保 Express.js 为社区提供安全性和可靠性方面的重要里程碑。
🌐 We are thrilled to announce the successful completion of a comprehensive security audit for Express.js, conducted by Ada Logics and facilitated by OSTIF. This extensive review of our framework and its core components marks a significant milestone in our commitment to ensuring the security and reliability of Express.js for our community.
合作努力
🌐 A Collaborative Effort
这次审计得以进行，归功于Express 安全工作组、Ada Logics、OSTIF以及OpenJS 基金会之间的合作。我们的重点是彻底评估 Express.js 的代码库，包括其依赖和核心库。主要目标是识别任何潜在的安全漏洞，并加强该框架的整体安全态势。
🌐 This audit was made possible through the collaboration between the Express Security Working Group, Ada Logics, OSTIF, and the OpenJS Foundation. Our focus was on thoroughly evaluating the Express.js codebase, including its dependencies and core libraries. The primary goal was to identify any potential security vulnerabilities and to strengthen the overall security posture of the framework.
审计主要亮点
🌐 Key Highlights of the Audit
- 审计期间：于2024年4月和5月进行。
- 范围：核心 Express.js 代码库和关键依赖，例如
body-parser、basic-auth-connect、serve-static等。 - 发现：共发现5个安全漏洞，所有漏洞均已得到处理和修补。
- 严重性：问题的严重程度从中等到高不等，影响的组件包括
res.redirect和serve-static。
对这些发现的深入分析
🌐 A Closer Look at the Findings
审计发现了若干漏洞，包括潜在的跨站脚本（XSS）风险以及 body-parser 中间件的拒绝服务（DoS）漏洞。以下是报告的主要 CVE：
🌐 The audit identified several vulnerabilities, including potential Cross-Site Scripting (XSS) risks and a Denial of Service (DoS) vulnerability in the body-parser middleware. Here are the key CVEs reported:
- CVE-2024-43796：
res.redirect中的 XSS 漏洞——在版本 >= 4.20.0 和 >= 5.0.0 中已修复。 - CVE-2024-45590：
body-parser中的 DoS——在版本 >= 1.20.3 中已修补。 - CVE-2024-47178：
basic-auth-connect中的时间漏洞——在版本 >= 1.1.0 中已修补。 - CVE-2024-43799：
send实用模块中的 XSS 漏洞——已在版本 >= 0.19.0 中修补。 - CVE-2024-43800：
serve-static中的 XSS 漏洞——在版本 >= 1.16.0 和 >= 2.1.0 中已修复。
我们的专门安全分级团队迅速处理了每一个漏洞，确保用户免受已知威胁的影响。
🌐 Each of these vulnerabilities was promptly addressed by our dedicated security triage team, ensuring that users remain protected against known threats.
有关审计结果的完整详情，你可以在此访问官方审计报告。
🌐 For full details on the audit results, you can access the official audit report here.
对透明度和安全性的承诺
🌐 A Commitment to Transparency and Security
在 Express，安全是我们的首要任务，我们相信在处理漏洞及其解决方案时，透明度的重要性。此次审计不仅突出了我们的主动应对方式，也加强了我们持续致力于为所有人构建安全网络框架的承诺。
🌐 At Express, security is a top priority, and we believe in the importance of transparency when it comes to vulnerabilities and their resolution. This audit not only highlights our proactive approach but also reinforces our ongoing commitment to building a secure web framework for all.
我们强烈建议所有用户将受影响的软件包更新到最新版本，以受益于最近的安全修复。有关补丁和升级方法的更多信息，请参阅我们的2024年9月安全发布公告。
🌐 We strongly recommend all users update to the latest versions of the affected packages to benefit from the recent security fixes. For more information on the patches and how to upgrade, please refer to our September 2024 Security Release announcement.
致谢
🌐 A Word of Thanks
如果没有许多个人和组织的努力与专业知识，这次审计是不可能完成的。我们要向以下人员表示感谢：
🌐 This audit would not have been possible without the efforts and expertise of many individuals and organizations. We want to extend our gratitude to:
- 感谢Ada Logics团队的认真审查和见解。
- 感谢OSTIF在整个审计过程中提供的协调与支持。
- 感谢 OpenJS 基金会赞助这一重要举措。
- 我们的 Express.js 社区，他们继续支持我们并信任我们处理他们的项目。
- Jordan Harband 在我们需要对 qs 进行更改时给予了我们惊人的支持。
通过共同努力，我们使 Express.js 更加坚固、更具韧性，并为未来的挑战做好了准备。我们期待继续以卓越和安全为重点为我们的社区服务。
🌐 Together, we’ve made Express.js stronger, more resilient, and ready for the challenges ahead. We look forward to continuing to serve our community with a focus on excellence and security.
感谢你与我们一起参与这段旅程！
🌐 Thank you for being a part of this journey with us!
