dns-packet 信息泄露漏洞
资源初始化缺失
dns-packet是一个应用软件。一个抽象的编码为编码/解码DNS数据包的依从模型。
dns-packet 5.2.2之前版本存在安全漏洞，该漏洞源于使用allocUnsafe创建缓冲区，并且在形成网络数据包之前并不总是填充它们。
uglify-js 存在ReDoS漏洞
ReDoS
uglify-js 是一个 JavaScript 解析器、压缩器、压缩器和美化工具包。此软件包的受影响版本容易通过 string_template 和 decode_template 函数受到正则表达式拒绝服务 (ReDoS) 的攻击。
kind-of是一款JavaScript类型检查软件包。
kind-of v6.0.2版本中的index.js文件的‘ctorName’函数存在注入漏洞，攻击者可利用该漏洞覆盖内部属性，操纵类型检查的结果。
node-forge 输入验证错误漏洞
动态确定对象属性修改的控制不恰当
node-forge是一个应用软件。一个用于 node-forge 的 WebJar。
所有版本的node-forge软件包都易于通过setPath函数受到原型污染。
node-tar 后置链接漏洞
在文件访问前对链接解析不恰当（链接跟随）
node-tar是一款用于文件压缩/解压缩的软件包。
node-tar 4.4.2之前版本中存在后置链接漏洞。该漏洞源于网络系统或产品未正确过滤表示非预期资源的链接或者快捷方式的文件名。攻击者可利用该漏洞访问非法的文件路径。
lodash 资源管理错误漏洞
不加限制或调节的资源分配
lodash是一款开源的JavaScript实用程序库。
lodash 4.7.11之前版本中的Date handler存在资源管理错误漏洞。该漏洞源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的管理不当。
Arnout Kazemier url-parse是美国Arnout Kazemiere（Arnout Kazemier）个人开发者的一个应用软件。提供url解析。
url-parse before 1.5.0 版本存在安全漏洞，该漏洞源于错误处理了反斜杠的某些用法，例如http： /，并将URI解释为相对路径。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
jsonpointer 存在拒绝服务漏洞
拒绝服务
jsonpointer 是一个简单的 JSON 寻址。此软件包的受影响版本容易通过 set 函数受到原型污染。
tar 是用于 Node.js 的全功能 Tar。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
no-case module是一个用于字符串转换的模块。
no-case模块中存在安全漏洞。攻击者可借助不可信的用户输入利用该漏洞造成拒绝服务。
extend module是一个jQuery的经典extend（）方法的端口。
extend 2.0.2之前版本和3.0.0版本至3.0.2版本中存在注入漏洞，该漏洞源于用户输入构造命令、数据结构或记录的操作过程中，网络系统或产品缺乏对用户输入数据的正确验证，未过滤或未正确过滤掉其中的特殊元素，导致系统或产品产生解析或解释方式错误。
Npm Ini是美国Npm公司的一个基于Javascript的用于解析和序列化Ini格式文件的代码库。
Npm ini before 1.3.6 存在资源管理错误漏洞，该漏洞允许攻击者可利用该漏洞向应用程序提交恶意的INI文件，该应用程序将用INI解析该文件。这可以根据上下文进一步加以利用。
jsonpointer类型混淆漏洞
使用不兼容类型访问资源（类型混淆）
jsonpointer是开源的一个简单的JSON寻址的软件包。jsonpointer存在安全漏洞，该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。 目前没有详细的漏洞细节提供。
acorn 是一个用 JavaScript 编写的小巧、快速的 JavaScript 解析器。此软件包的受影响版本通过 /[x-\ud800]/u 形式的正则表达式容易受到正则表达式拒绝服务 (ReDoS) 的攻击，这会导致解析器进入无限循环。
follow-redirects project信息暴露漏洞
信息暴露
Exposure of Sensitive Information to an Unauthorized Actor in NPM follow-redirects prior to 1.14.8.
mixin-deep 参数注入漏洞
参数注入或修改
mixin-deep是一款能够将对象属性混合到第一个对象中的模块。
mixin-deep 1.3.2之前版本和2.0.0版本中存在参数注入漏洞。该漏洞源于外部输入数据构造命令参数的过程中，网络系统或产品未正确过滤参数中的特殊字符。攻击者可利用该漏洞执行非法命令。
Ajv 6.12.2版本中的ajv.validate()函数中存在输入验证错误漏洞。攻击者可利用该漏洞执行代码或造成拒绝服务。
Digital Bazaar Forge 输入验证错误漏洞
跨站重定向
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Digital Bazaar Forge 中存在输入验证错误漏洞，该漏洞源于产品允许URL重定向到不受信任的站点。
yargs-parser 输入验证错误漏洞
输入验证不恰当
yargs-parser是一款选项解析器。
yargs-parser 13.1.2之前版本、14.0.0及之后版本（15.0.1版本已修复）和16.0.0及之后版本（18.1.1版本已修复）中存在输入验证错误漏洞。攻击者可借助‘__proto__’payload利用该漏洞添加或修改Object.prototype属性。
评论