无PHP代码的Svelte项目遭杀毒软件报CVE-2024-4577漏洞求助

核心问题分析 #

CVE-2024-4577是针对PHP parse_str函数的远程代码执行漏洞，你的纯Svelte/Node.js项目本身无PHP代码，触发警报大概率是以下两种情况：

• 杀毒软件对node_modules/flatted中的PHP文件误判
• 依赖链中引入的flatted包被植入了恶意PHP文件

具体排查与解决步骤 #

1. 确认flatted包的合法性

   • 执行命令查看flatted的引入路径：

     npm ls flatted
     # yarn项目替换为：
     yarn why flatted
     

   • 检查引入flatted的上层依赖，确认是否为官方维护的正规包。如果是第三方依赖引入了可疑版本的flatted，直接升级该上层依赖到最新稳定版。
   • 手动查看node_modules/flatted中PHP文件的内容，若只是测试文件或无恶意代码，基本可判定为杀毒误报。

2. 处理误报情况

   • 将该PHP文件提交给杀毒软件厂商的误报反馈通道，说明这是Node.js依赖中的非执行文件，不会在PHP环境中运行。
   • 临时配置杀毒软件排除node_modules/flatted目录的扫描，避免影响开发/部署流程，但需先确认文件无恶意。

3. 清理或替换依赖

   • 如果确认flatted包存在异常，直接卸载并替换为其他JSON序列化替代库（如fast-json-stable-stringify、superjson）：

     npm uninstall flatted
     npm install fast-json-stable-stringify
     

   • 若flatted是某个依赖的子依赖无法直接卸载，可在package.json中添加字段强制锁定flatted的安全版本：

     // npm/pnpm
     "overrides": {
       "flatted": "^3.2.9"
     }
     // yarn
     "resolutions": {
       "flatted": "^3.2.9"
     }
     

     执行npm install更新依赖。

4. 验证部署环境安全性

   • 检查生产部署流程，确保node_modules中仅保留运行必需的依赖，清理测试类、无关文件。
   • 确认IIS的URL重写规则仅转发请求到你的Node.js服务，服务器上未运行其他PHP环境，避免杀毒软件跨站点误关联。

5. 文件安全验证

   • 用本地杀毒软件或在线病毒扫描工具扫描该PHP文件，确认是否存在真正的恶意代码，若有则立即删除并排查依赖源是否被污染。

内容的提问来源于stack exchange，提问作者Baki Durden