Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
Url-Parse是一个跨Node.js和浏览器环境无缝工作的小型Url解析器。NPM url-parse 1.5.8之前版本存在授权绕过漏洞，攻击者可利用该漏洞通过用户控制的密钥绕过授权。
tar 是用于 Node.js 的全功能 Tar。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。digitalbazaar Forge 1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于RSA PKCS＃1 v1.5签名验证码在解码 `DigestInfo` ASN.1 结构后不检查尾随垃圾字节。攻击者可以删除填充字节利用该漏洞添加垃圾数据以伪造签名。
Immer 安全漏洞
使用不兼容类型访问资源（类型混淆）
Immer是Immer社区的一个基于Javascript的状态管理库。。
immer 9.0.6之前版本存在安全漏洞，该漏洞源于当path参数中使用的用户提供的密钥是数组时，可能导致绕过CVE-2020-28477。
istanbul-reports 存在通过 window.opener 访问使用指向不受信任目标的 Web 链接漏洞
通过 window.opener 访问使用指向不受信任目标的 Web 链接
由于指向 https://istanbul 的链接中没有 rel 属性，因此该软件包的受影响版本容易受到反向 Tabnabbing 的攻击。
Unshiftio Url-parse 访问控制错误漏洞
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
Unshiftio Url-parse 中存在访问控制错误漏洞，该漏洞源于产品对用户控制的密钥缺少有效的保护机制。攻击者可通过该漏洞绕过授权。以下产品及版本受到影响：Unshiftio Url-parse 1.5.9 之前版本。
nanoid是用于 JavaScript 的小型、安全、URL 友好、唯一的字符串 ID 生成器。
nanoid安全中存在漏洞，该漏洞源于nanoid 容易通过 valueOf() 函数受到信息暴露的影响，该函数允许重现最后生成的 id。
css-what是一个CSS选择器解析器。
css-what 5.0.1之前版本存在安全漏洞，该漏洞源于css-what包并不能确保属性解析具有相对于输入大小的线性时间复杂度。目前没有详细漏洞细节提供。
Digital Bazaar Forge 输入验证错误漏洞
跨站重定向
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Digital Bazaar Forge 中存在输入验证错误漏洞，该漏洞源于产品允许URL重定向到不受信任的站点。
follow-redirects project信息暴露漏洞
信息暴露
Exposure of Sensitive Information to an Unauthorized Actor in NPM follow-redirects prior to 1.14.8.
node-tar是一款用于文件压缩/解压缩的软件包。
npm node-tar 存在路径遍历漏洞，该漏洞源于4.4.18、5.0.10和6.1.9之前的npm包“tar”(又名node-tar)存在任意文件创建覆盖和任意代码执行漏洞。攻击者可利用该漏洞访问受限目录之外的位置。
Color-String 安全漏洞
不加限制或调节的资源分配
Color-String是开源的一个库，用于解析和生成 CSS 颜色字符串。
Color-String 1.5.5及之前版本存在安全漏洞，该漏洞源于当应用程序检查一个精心制作的数据时，就会出现正则表达式拒绝服务(ReDOS)。
Sindre Sorhus IS-SVG 安全漏洞
不加限制或调节的资源分配
Sindre Sorhus is-svg是 （Sindre Sorhus）开源的一个应用软件。提供检查字符串或缓冲区是否为SVG功能。
IS-SVG 存在安全漏洞，该漏洞源于当应用程序检查一个精心制作的无效SVG字符串时，就会出现正则表达式拒绝服务(ReDOS)。
Follow Redirects 安全漏洞
侵犯隐私
Follow Redirects是一个自动遵循 Http(s) 重定向的 Node.js 模块。
Follow Redirects 存在安全漏洞，该漏洞源于follow-redirects容易暴露私人个人信息给未经授权的参与者。
NPM url-parse 安全漏洞
通过用户控制密钥绕过授权机制
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
NPM url-parse 存在安全漏洞，该漏洞源于在1.5.6之前的NPM url-parse中，通过用户控制的密钥绕过授权。
shell-quote是开源的一个软件包。用于解析和引用 shell 命令。
shell-quote package存在安全漏洞，攻击者可利用该漏洞可以植入任意代码从而执行相关操作。
nodejs是是一个基于ChromeV8引擎的JavaScript运行环境通过对Chromev8引擎进行了封装以及使用事件驱动和非阻塞IO的应用让Javascript开发高性能的后台应用成为了可能。
nodejs-glob-parent 存在安全漏洞，该漏洞源于正则表达式拒绝服务。
nodejs是是一个基于ChromeV8引擎的JavaScript运行环境通过对Chromev8引擎进行了封装以及使用事件驱动和非阻塞IO的应用让Javascript开发高性能的后台应用成为了可能。
nodejs-tmpl存在安全漏洞，该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。
node-forge 是网络传输、密码学、密码、PKI、消息摘要和各种实用程序的 JavaScript 实现。此软件包的受影响版本容易受到通过伪造的原型污染。
评论