Yargs Y18n 输入验证错误漏洞
动态确定对象属性修改的控制不恰当
Yargs Y18n是Yargs个人开发者的一个类似I18n的由Js编写的代码库。
y18n before 3.2.2, 4.0.1 and 5.0.5版本存在输入验证错误漏洞，该漏洞源于网络系统或产品未对输入的数据进行正确的验证。
ws 是一个用于 node.js 的简单易用的 websocket 客户端、服务器和控制台。此软件包的受影响版本容易受到拒绝服务 (DoS) 攻击。
handlebars 是 Mustache 模板语言的扩展。此软件包的受影响版本容易受到原型污染。
lodash 是一个现代 JavaScript 实用程序库，提供模块化、性能和附加功能。由于对 CVE-2020-8203 的修复不完整，此软件包的受影响版本容易受到 zipObjectDeep 中的原型污染。
uglify-js 存在ReDoS漏洞
ReDoS
uglify-js 是一个 JavaScript 解析器、压缩器、压缩器和美化工具包。此软件包的受影响版本容易通过 string_template 和 decode_template 函数受到正则表达式拒绝服务 (ReDoS) 的攻击。
marked data: URI解析器跨站脚本漏洞
XSS
marked是美国软件开发者Christopher Jeffrey所研发的一款使用JavaScript编写的Markdown解析器和编译器。data:URI parser是其中的一个URI（统一资源标识符）解析器。
marked 0.3.6及之前的版本中的data: URI解析器存在跨站脚本漏洞。远程攻击者可借助data: URIs利用该漏洞绕过访问控制或窃取敏感信息。
lodash是一款开源的JavaScript实用程序库。
lodash 4.17.11之前版本中由于函数merge,mergeWith和defaultsDeep可以添加或修改Object.prototype导致原型污染漏洞，。
这会造成通过触发 JavaScript 异常来拒绝服务，或者篡改应用程序源代码以强制攻击者注入的代码路径，从而导致远程代码执行
minimist是一款命令行参数解析工具。
minimist 1.2.2之前版本存在输入验证错误漏洞。攻击者可借助‘constructor’和‘__proto__’ payload利用该漏洞添加或修改Object.prototype的属性。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
handlebars 是 Mustache 模板语言的扩展。此软件包的受影响版本容易受到原型污染。
Medialize URI.js 安全漏洞
跨站重定向
Medialize URI.js是Medialize团队的一款基于Javascript的可用于高效拼接URL的代码库。
medialize/uri.js存在安全漏洞，目前暂无该漏洞信息，请随时关注CNNVD或厂商公告。
handlebars是一款语义化的Web模板系统。
handlebars 4.3.0之前版本中存在注入漏洞。攻击者可借助特制的payloads利用该漏洞执行任意代码。
handlebars是一款语义化的Web模板系统。
handlebars 4.7.7之前版本存在安全漏洞，该漏洞源于当选择某些编译选项来编译来自不可信源的模板时，容易受到原型污染的影响。
github ws是一个应用软件。一种易于使用，运行迅速且经过全面测试的WebSocket客户端和服务器实现的方法。
漏洞版本中“Sec-Websocket-Protocol”标头的一个特殊的值可以用来显著降低ws服务器的速度，从而导致拒绝服务漏洞。
handlebars 是 Mustache 模板语言的扩展。此软件包的受影响版本容易受到任意代码执行的影响。
标记是一个低级编译器，用于解析降价而不需要长时间缓存或阻塞。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Medialize URI.js 安全漏洞
跨站重定向
Medialize URI.js是Medialize团队的一款基于Javascript的可用于高效拼接URL的代码库。
GitHub存储库 1.19.10之前版本的 medialize/uri.js 存在安全漏洞，该漏洞源于medialize/uri.js 中打开重定向。
extend module 输入验证错误漏洞
输入验证不恰当
extend module是一个jQuery的经典extend（）方法的端口。
deep-extend node模块0.5.0及之前版本中的‘utilities’函数存在输入验证错误漏洞。攻击者可利用该漏洞造成服务器崩溃或返回500。
标记是一个低级编译器，用于解析降价而不需要长时间缓存或阻塞。此软件包的受影响版本容易受到跨站点脚本 (XSS) 的攻击。
评论