CVE:CVE-2022-29078
CNNVD:CNNVD-202204-4327
Github ejs是嵌入式 JavaScript 模板。
ejs 3.1.6 版本存在代码注入漏洞，该漏洞源于 settings[view options][outputFunctionName] 中可以进行服务器端模板注入。 这被解析为内部选项，并使用任意 OS 命令（在模板编译时执行）覆盖 outputFunctionName 选项。
solution:Upgrade ejs ejs to a higher version than 3.1.6,and avoid the version 3.1.6