pac-resolver是一个从PAC 文件生成异步解析器函数。
pac-resolver 5.0.0之前版本存在安全漏洞，该漏洞源于应用不安全的 PAC 文件处理，当与不受信任的输入一起使用时可能会发生这种情况。
Axios 是一个基于promise 网络请求库。
漏洞版本的axios 容易受到低效正则表达式复杂性的影响，从而引发拒绝服务 (ReDoS) 的攻击。
Npm underscore 代码注入漏洞
代码注入
Underscore.js 是一个用于 JavaScript 的实用工具带库，它为常见的功提供支持，而无需扩展任何核心 JavaScript 对象。
漏洞版本中存在代码注入漏洞，攻击者可利用该漏洞容易通过模板函数执行任意代码。
conventional-commits-parser 存在ReDoS漏洞
ReDoS
常规提交解析器是 Parse 原始常规提交。由于缺少清理，此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
elliptic 是一个简单的 javascript 实现中的快速椭圆曲线密码学。此软件包的受影响版本容易受到时序攻击。
Codecov NodeJs Uploader 注入漏洞
注入
Codecov NodeJs Uploader 3.6.2之前版本中存在注入漏洞。远程攻击者可借助‘gcov-args’参数利用漏洞执行任意命令。
codecov-node npm module 操作系统命令注入漏洞
命令注入
codecov-node npm module是一款应用程序全球覆盖率模块。
codecov-node npm module 3.6.5之前版本中存在安全漏洞。远程攻击者可利用该漏洞执行任意命令。
mpath module 安全漏洞
使用不兼容类型访问资源（类型混淆）
mpath module是一款使用类似MongoDB的路径表示法获取/设置javascript对象值的模块。
mpath module 0.8.4 之前存在安全漏洞，该漏洞源于类型混淆，如果输入是数组，则调用的方法是 Array.prototype.indexOf() 而不是 String.prototype.indexOf()。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
handlebars是一款语义化的Web模板系统。
handlebars 4.7.7版本之前存在安全漏洞，该漏洞源于在选择某些编译选项来编译来自不受信任的源的模板时，handlebars容易受到远程代码执行(Remote Code Execution, RCE)的攻击。
验证器是一个字符串验证器和消毒器库。此软件包的受影响版本容易受到通过 isHSL 函数的正则表达式拒绝服务 (ReDoS) 的攻击。
follow-redirects project信息暴露漏洞
信息暴露
Exposure of Sensitive Information to an Unauthorized Actor in NPM follow-redirects prior to 1.14.8.
Mikaelbr Node-notifier 操作系统命令注入漏洞
命令注入
Mikaelbr Node-notifier是Mikaelbr个人开发者的一个基于Javascript的用于为Mac、Windows、Linux发送统治的代码库。
node-notifier 9.0.0之前版本存在安全漏洞，该漏洞允许攻击者可利用该漏洞在Linux机器上运行任意命令，因为在传递数组时，选项参数没有被清除。
object-path 安全漏洞
使用不兼容类型访问资源（类型混淆）
object-path是个人开发者的一个可以通过路径访问数据结构中变量的 Npm 库。
object-path 0.11.6之前版本存在安全漏洞，该漏洞源于当path参数中使用的路径组件是阵列时会导致类型混淆漏洞。
头盔 csp 是一种内容安全策略，有助于防止将不需要的内容注入您的网页。此软件包的受影响版本容易受到影响应用程序内容安全策略 (CSP) 的配置覆盖的影响。
验证器是一个字符串验证器和消毒器库。此软件包的受影响版本容易通过 isEmail 函数受到正则表达式拒绝服务 (ReDoS) 的攻击。
4.2.1 之前的 dot-prop npm 包版本和 5.1.1 之前的 5.x 版本中的原型污染漏洞允许攻击者向 JavaScript 语言构造（例如对象）添加任意属性。
handlebars是一款语义化的Web模板系统。
handlebars 4.7.7之前版本存在安全漏洞，该漏洞源于当选择某些编译选项来编译来自不可信源的模板时，容易受到原型污染的影响。
handlebars是一款语义化的Web模板系统。
handlebars 4.3.0之前版本中存在注入漏洞。攻击者可借助特制的payloads利用该漏洞执行任意代码。
Amazon Aws-sdk-js是美国亚马逊（Amazon）公司的一个基于Javascript用于为nodejs应用提供AWS服务支持的开发包。
Amazon Aws-sdk-js before 1.0.0-rc.9 存在安全漏洞，攻击者可利用该漏洞向应用程序提交恶意的INI文件，根据上下文进一步加以利用。
评论