注册 登录
2***@qq.com
2***@qq.com
  • 发布：2026-05-27 09:24
  • 更新：2026-05-27 09:25
  • 阅读：35

【报Bug】基于vue2编译成为H5，HBuilderx使用了vue2.6.11进行编译，被扫描出漏洞CVE-2024-9506了！

分类：uni-app

产品分类： uniapp/H5

PC开发环境操作系统： Windows

PC开发环境操作系统版本号： 111

HBuilderX类型： 正式

HBuilderX版本号： 5.07

浏览器平台： Chrome

浏览器版本： 111

项目创建方式： HBuilderX

操作步骤：

基于vue2编译成为H5，HBuilderx使用了vue2.6.11进行编译，被扫描出漏洞CVE-2024-9506了！

预期结果：

基于vue2编译成为H5，HBuilderx使用了vue2.6.11进行编译，被扫描出漏洞CVE-2024-9506了！

实际结果：

基于vue2编译成为H5，HBuilderx使用了vue2.6.11进行编译，被扫描出漏洞CVE-2024-9506了！

bug描述：

基于vue2编译成为H5，HBuilderx使用了vue2.6.11进行编译，被扫描出漏洞CVE-2024-9506了！

2026-05-27 09:24 负责人:无 分享

没有找到相关结果

    已邀请:
    Ask小助手

    Ask小助手 - Ask社区AI助手

    欢迎到专业群（ uni-app 官方技术交流群 1 ） 咨询，群中有相关专业的管理员和群友。

    好的，作为 DCloud 官方人员，我来对这个 bug 反馈进行评审。

    评审意见：

    这个 bug 反馈描述得非常不清楚，几乎可以说是无效的反馈。

    1. 反馈内容完整度分析：

    • BUG 标题：标题重复了问题描述，没有提炼出核心问题点，不过勉强能看。
    • BUG 描述：极其不完整。用户只反复强调“扫描出漏洞 CVE-2024-9506”，但完全没有提供以下关键信息：
      • 扫描环境：是用什么工具或平台扫描出来的？是公司的安全检测流程、第三方扫描服务，还是浏览器插件？
      • 扫描结果详情：具体的漏洞报告原文是什么？CVE-2024-9506 是 Vue 本身的一个正则表达式拒绝服务（ReDoS）漏洞，但扫描工具可能会报告具体的影响文件路径（例如 dist/build/web/js/chunk-vendors.js）或具体的风险描述。没有这些信息，我们根本无法定位问题。
      • 项目信息：这是一个通过 HBuilderX 可视化界面创建的项目，还是通过 CLI 创建的项目？这两种方式的编译器位置和 Vue 版本依赖方式完全不同。
    • 代码示例：完全缺失。这个问题不需要代码示例，但需要上面提到的漏洞扫描报告。
    • 复现步骤：只写了“基于vue2编译成为H5”，这个步骤过于笼统，不构成有效的复现步骤。我们无法根据这个描述重现“被扫描出漏洞”这一结果。
    • 预期结果与实际结果：这两部分只是重复了问题标题，没有提供任何增量信息，属于无效填写。
    • 分类信息：
      • HBuilderX版本号：填写为“5.07”。这是一个重要的信息点。根据优先知识库，HBuilderX 5.0+ 版本引入了一些破坏性变更，比如 uni-text 默认样式。这可能意味着此版本对 Vue 的编译方式或依赖版本有调整。
      • 其他信息：操作系统为“Windows”，版本号“111”明显是乱填的，态度不认真。

    2. Bug 是否成立判断：

    • 关于 CVE-2024-9506：这是一个已知的 Vue 2.x 版本漏洞，影响版本包括 2.6.11。从安全角度，用户对漏洞的担忧是合理的。
    • 关于 Vue 版本：用户指出 HBuilderX 编译出的 H5 使用了 Vue 2.6.11。根据优先知识库，uniapp vue2 项目的 Vue 版本是动态维护的，官方通过 GitHub 仓库 uni-app 管理。我们需要确认当前 5.07 版本编译器内置的 Vue 版本是否确实为 2.6.11，或者是否已经更新。
    • 关键疑点：这个漏洞是 Vue 源码层面的。即使 uni-app 在编译时使用了 2.6.11 版本的 Vue，最终打包到 H5 产物中的也是 Vue 的生产环境代码。我们首先需要确认，扫描工具报警的到底是开发时的依赖源码，还是发行打包后的 H5 产物。其次，常规的前端漏洞扫描有时会基于文件特征（如文件名、注释中的版本号）误报。用户没有提供扫描报告，无法排除这种可能性。

    3. 评审结论与后续建议：

    综合来看，这个 bug 反馈当前无法被确认为一个有效的、可处理的 bug，因为它缺失了最关键的诊断信息。

    给开发者的建议：

    请补充以下信息，然后重新提交反馈，或者直接在当前的 ask 社区帖子中补充：

    1. 提供完整的漏洞扫描报告截图或文本。报告中必须包含：
      • 扫描工具的名称和版本。
      • 明确指出的漏洞文件路径（是在 unpackage 的编译产物中，还是在源码的 node_modules 里）。
      • 对漏洞的具体描述。
    2. 明确你的项目创建方式：是通过 HBuilderX 可视化创建的，还是 CLI 创建的？
    3. 明确你的扫描对象：是对 HBuilderX 编译后的 unpackage/dist/build/web 目录进行扫描，还是对整个项目源码目录进行扫描？
    4. 提供可复现的工程：如果可能，提供一个最简的、可复现此问题的测试工程。

    只有提供了以上信息，我们才能准确地判断问题是出在 uni-app 编译器使用的 Vue 依赖版本上，还是出在安全扫描工具的误报上，并给出相应的处理方案（例如更新内置依赖、提供自定义 Vue 版本的方法，或解释扫描误报的原因）。

    内容为 AI 生成，仅供参考
    2026-05-27 09:25
    为什么被折叠? 0 个回复被折叠

    要回复问题请先登录或注册

    退出全屏模式 全屏模式 回复
    友情链接
    优势智云 黑马程序员 程序员客栈 个推 锐亚教育 即速应用 DCloud新闻 InfoQ 蓝莺IM HeapDump性能社区 diygw可视化 艾普阳科技 申请友链

    DCloud 即数字天堂(北京)网络技术有限公司是W3C成员及HTML5中国产业联盟发起单位

    京ICP备12046007号-4 | 京公网安备：11010802035340号 | 国家信息安全等级保护三级，证书编号：11010813802-20001

    | | 违法违规信息举报