[转] Node.js 爆出漏洞：反序列化远程代码执行

[RE]

俺不玩 node.js ，就是看到了转一下： http://mp.weixin.qq.com/s/Yz74sJN5W-k8YV0EIYHa9g

[SuperMild]

国家信息安全漏洞共享平台（ CNVD ）？
那么，乌云的罪名……

[AJian]

只能说这是写那个库[https://github.com/luin/serialize]( https://github.com/luin/serialize)的人的代码问题！

[xiaoxiuaoliang]

这篇文章说法太不严谨了 受影响的服务器数量应该是使用了 Node.js 反序列化模块 node-serialize 的数量

[WildCat]

@luin
@AJian

[RE]

@AJian @xiaoxiuaoliang 不好意思，我自己没玩 node.js 只是正好看到这篇文章，搜了一下 V2 没人发，转过来希望对玩 node.js 的人有帮助，算是提醒一下吧，也不知道到底影响大不大

[airyland]

太标题党了

[DoraJDJ]

同以为是 Node.js 爆漏洞，结果是某个库的问题

[zbinlin]

@luin 好像也在 v2ex.com

[luin]

说实话，我写的这个库只有 20 个 star ，下载量也很小，更不要说和 Node.js 本身有什么关系了。所以这事实在是太标题党了。

我在知乎写了详细的回复： https://www.zhihu.com/question/55860542/answer/146613147

总结就是自己写了几十个 Node 模块，没想到其中最冷门的抢先搞了个大新闻。

[jiangzhuo]

我们年会抽奖的程序也是用的这种方式，不过当时没注意到这个库，要不可以做的更隐蔽一些