lodash是一款开源的JavaScript实用程序库。 lodash 4.17.15及之前版本中存在输入验证错误漏洞。远程攻击者可借助'merge'、'mergeWith'和'defaultsDeep'函数利用该漏洞在系统上执行任意代码。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
Sindre Sorhus IS-SVG 安全漏洞
不加限制或调节的资源分配
Sindre Sorhus is-svg是 (Sindre Sorhus)开源的一个应用软件。提供检查字符串或缓冲区是否为SVG功能。
IS-SVG 存在安全漏洞,该漏洞源于当应用程序检查一个精心制作的无效SVG字符串时,就会出现正则表达式拒绝服务(ReDOS)。
lodash 是一个现代 JavaScript 实用程序库,提供模块化、性能和附加功能。此软件包的受影响版本容易通过 setWith 和 set 函数受到原型污染。
macaddress 是一个获取主机网络接口的 MAC 地址(硬件地址)的库。此软件包的受影响版本容易受到任意文件读取的影响。
Yargs Y18n 输入验证错误漏洞
动态确定对象属性修改的控制不恰当
Yargs Y18n是Yargs个人开发者的一个类似I18n的由Js编写的代码库。
y18n before 3.2.2, 4.0.1 and 5.0.5版本存在输入验证错误漏洞,该漏洞源于网络系统或产品未对输入的数据进行正确的验证。
lazysizes是一款轻量级惰性加载器。它主要用于图像,iframe和脚本等内容的延迟加载。
lazysizes 5.2.0及之前版本中存在安全漏洞,该漏洞源于程序没有清理以下属性:data-vimeo、data-vimeoparams、data-youtube和data-ytparams。攻击者可利用该漏洞执行恶意JavaScript代码。
nodejs是是一个基于ChromeV8引擎的JavaScript运行环境通过对Chromev8引擎进行了封装以及使用事件驱动和非阻塞IO的应用让Javascript开发高性能的后台应用成为了可能。
nodejs-glob-parent 存在安全漏洞,该漏洞源于正则表达式拒绝服务。
elliptic 是一个简单的 javascript 实现中的快速椭圆曲线密码学。此软件包的受影响版本容易受到时序攻击。
highlight.js 存在拒绝服务漏洞
拒绝服务
highlight.js 是一个用 JavaScript 编写的语法荧光笔。它可以在浏览器和服务器上工作。它几乎适用于任何标记,不依赖于任何框架,并且具有自动语言检测功能。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击,这些攻击通过多语言突出显示中的指数和多项式灾难性回溯进行。
lodash 是一个现代 JavaScript 实用程序库,提供模块化、性能和附加功能。由于对 CVE-2020-8203 的修复不完整,此软件包的受影响版本容易受到 zipObjectDeep 中的原型污染。
Ajv 6.12.2版本中的ajv.validate()函数中存在输入验证错误漏洞。攻击者可利用该漏洞执行代码或造成拒绝服务。
Highlight.js 是一个用 JavaScript 编写的语法高亮器。 Highlight.js 9.18.2 和 10.1.2 之前的版本容易受到原型污染。可以制作恶意 HTML 代码块,在突出显示期间导致基础对象原型的原型污染。如果您允许用户通过解析 Markdown 代码块(或类似代码块)将自定义 HTML 代码块插入您的页面/应用程序,并且不过滤用户可以提供的语言名称,您可能会受到攻击。污染应该只是无害的数据,但这可能会导致不期望这些属性存在的应用程序出现问题,并可能导致奇怪的行为或应用程序崩溃,即潜在的 DOS 向量。如果您的网站或应用程序不呈现用户提供的数据,它应该不受影响。版本 9.18.2 和 10.1.2 及更高版本包括针对此漏洞的修复。如果您使用的是版本 7 或 8,我们鼓励您升级到较新的版本。
Indutny Elliptic 加密问题漏洞
密码算法不安全
Indutny Elliptic是Indutny个人开发者的一个基于Javascript为应用提供快速椭圆曲线加密的代码库。
Indutny Elliptic 存在安全漏洞,该漏洞源于没有检查来确认公钥。
Color-String 安全漏洞
不加限制或调节的资源分配
Color-String是开源的一个库,用于解析和生成 CSS 颜色字符串。
Color-String 1.5.5及之前版本存在安全漏洞,该漏洞源于当应用程序检查一个精心制作的数据时,就会出现正则表达式拒绝服务(ReDOS)。
js-yaml 是一种人性化的数据序列化语言。此软件包的受影响版本容易受到任意代码执行的影响。
minimist是一款命令行参数解析工具。
minimist 1.2.2之前版本存在输入验证错误漏洞。攻击者可借助‘constructor’和‘__proto__’ payload利用该漏洞添加或修改Object.prototype的属性。
Elliptic package 输入验证错误漏洞
整数溢出或超界折返
Elliptic package是一款基于JavaScript的椭圆曲线密码库。
Elliptic package 6.5.2版本(Node.js)中存在安全漏洞。攻击者可利用该漏洞提升权限。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞,该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
striptags 安全漏洞
使用不兼容类型访问资源(类型混淆)
striptags是一个软件包。
striptags 存在安全漏洞,该漏洞源于在3.2.0版本之前的striptags中,当一个类似数组的对象作为 html 参数传入时,类型混淆漏洞会导致 striptags 连接未经处理的字符串。攻击者可利用该漏洞输入的形状,查询参数被直接传递到函数中,这可能导致XSS。
评论