Hoek是一个hapi系统的实现。
Hoek 4.2.0之前版本和5.0.3之前的5.0.x版本中存在访问控制错误漏洞。本地攻击者可借助‘merge’和‘applyToDefaults’函数利用该漏洞修改‘Object’的原型。
grunt 1.3.0之前版本存在代码注入漏洞,该漏洞允许攻击者进行代码执行。
node-tar是一款用于文件压缩/解压缩的软件包。
npm node-tar 存在路径遍历漏洞,该漏洞源于4.4.18、5.0.10和6.1.9之前的npm包“tar”(又名node-tar)存在任意文件创建覆盖和任意代码执行漏洞。攻击者可利用该漏洞访问受限目录之外的位置。
dns-packet 信息泄露漏洞
资源初始化缺失
dns-packet是一个应用软件。一个抽象的编码为编码/解码DNS数据包的依从模型。
dns-packet 5.2.2之前版本存在安全漏洞,该漏洞源于使用allocUnsafe创建缓冲区,并且在形成网络数据包之前并不总是填充它们。
lodash是一款开源的JavaScript实用程序库。
lodash 4.17.11之前版本中由于函数merge,mergeWith和defaultsDeep可以添加或修改Object.prototype导致原型污染漏洞,。
这会造成通过触发 JavaScript 异常来拒绝服务,或者篡改应用程序源代码以强制攻击者注入的代码路径,从而导致远程代码执行
fstream 后置链接漏洞
在文件访问前对链接解析不恰当(链接跟随)
fstream是一个用于读取和写入文件的库。
fstream 1.0.12之前版本中的‘fstream.DirWriter()’函数存在后置链接漏洞。该漏洞源于网络系统或产品未正确过滤表示非预期资源的链接或者快捷方式的文件名。攻击者可利用该漏洞访问非法的文件路径。
clean-css 是适用于 Node.js 平台和任何现代浏览器的快速高效的 CSS 优化器。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
js-yaml 是一种人性化的数据序列化语言。此软件包的受影响版本容易受到任意代码执行的影响。
Bootstrap是一款使用HTML、CSS和JavaScript开发的开源Web前端框架。
Bootstrap 3.4.0之前版本中的affix存在跨站脚本漏洞,远程攻击者可利用该漏洞注入任意的Web脚本或HTML。
Bootstrap是一款使用HTML、CSS和JavaScript开发的开源Web前端框架。
Bootstrap 3.4.0之前的3.x版本和4.0.0-beta.2之前的4.x-beta版本中的data-target属性存在跨站脚本漏洞,远程攻击者可利用该漏洞注入任意的Web脚本或HTML。
codemirror 是一个用 JavaScript 为浏览器实现的通用文本编辑器。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
node-tar是一款用于文件压缩/解压缩的软件包。
Npm Node-tar 中存在后置链接漏洞,该漏洞源于产品未对特殊字符做有效验证。攻击者可通过该漏洞在其他路径创建恶意文件。
elliptic 是一个简单的 javascript 实现中的快速椭圆曲线密码学。此软件包的受影响版本容易受到时序攻击。
url-parse是一款跨Node.js和浏览器环境的小型URL解析器。
url-parse 1.4.3之前版本中存在安全漏洞,该漏洞源于程序没有进行正确的解析,导致返回错误的主机名。远程攻击者可利用该漏洞实施服务器端请求伪造攻击、开放重定向攻击或绕过身份验证协议。
npm package morgan 安全漏洞
命令注入
npm package morgan 1.9.1之前版本中存在命令注入漏洞,该漏洞源于外部输入数据构造可执行命令过程中,网络系统或产品未正确过滤其中的特殊元素。攻击者可利用该漏洞执行非法命令。
Elliptic package 输入验证错误漏洞
整数溢出或超界折返
Elliptic package是一款基于JavaScript的椭圆曲线密码库。
Elliptic package 6.5.2版本(Node.js)中存在安全漏洞。攻击者可利用该漏洞提升权限。
chownr package竞争条件问题漏洞
检查时间与使用时间(TOCTOU)的竞争条件
Joyent Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序,以及编写能够处理数万条且同时连接到一个物理机的连接代码。chownr package是其中的一个文件所有权管理软件包。
chownr package 1.1.0之前版本中存在竞争条件问题漏洞。该漏洞源于网络系统或产品在运行过程中,并发代码需要互斥地访问共享资源时,对于并发访问的处理不当。目前没有详细的漏洞细节提供。
macaddress 是一个获取主机网络接口的 MAC 地址(硬件地址)的库。此软件包的受影响版本容易受到任意文件读取的影响。
tar 是用于 Node.js 的全功能 Tar。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
extend module是一个jQuery的经典extend()方法的端口。
extend 2.0.2之前版本和3.0.0版本至3.0.2版本中存在注入漏洞,该漏洞源于用户输入构造命令、数据结构或记录的操作过程中,网络系统或产品缺乏对用户输入数据的正确验证,未过滤或未正确过滤掉其中的特殊元素,导致系统或产品产生解析或解释方式错误。
评论