Elliptic package 输入验证错误漏洞
整数溢出或超界折返
Elliptic package是一款基于JavaScript的椭圆曲线密码库。
Elliptic package 6.5.2版本(Node.js)中存在安全漏洞。攻击者可利用该漏洞提升权限。
Immer是Immer社区的一个基于Javascript的状态管理库。。
Immer 所有版本存在安全漏洞,目前尚无此漏洞的相关信息,请随时关注CNNVD或厂商公告。
object-path 安全漏洞
使用不兼容类型访问资源(类型混淆)
object-path是个人开发者的一个可以通过路径访问数据结构中变量的 Npm 库。
object-path 0.11.6之前版本存在安全漏洞,该漏洞源于当path参数中使用的路径组件是阵列时会导致类型混淆漏洞。
react-dev-utils 操作系统命令注入漏洞
命令注入
Helper create-react-app是 (Helper)开源的一个应用程序。用于隐藏在弹出时不应给用户带来负担的代码。
react-dev-utils prior to v11.0.4 存在操作系统命令注入漏洞,该漏洞源于当使用用户提供的值手动调用这个getProcessForPort函数时,才有可能出现命令注入。
@hapi/hoek 是 hapi 生态系统的实用方法包。此包的受影响版本容易受到原型污染。
node-forge 是网络传输、密码学、密码、PKI、消息摘要和各种实用程序的 JavaScript 实现。此软件包的受影响版本容易受到通过伪造的原型污染。
node-forge 输入验证错误漏洞
动态确定对象属性修改的控制不恰当
node-forge是一个应用软件。一个用于 node-forge 的 WebJar。
所有版本的node-forge软件包都易于通过setPath函数受到原型污染。
shell-quote是开源的一个软件包。用于解析和引用 shell 命令。
shell-quote package存在安全漏洞,攻击者可利用该漏洞可以植入任意代码从而执行相关操作。
github ws是一个应用软件。一种易于使用,运行迅速且经过全面测试的WebSocket客户端和服务器实现的方法。
漏洞版本中“Sec-Websocket-Protocol”标头的一个特殊的值可以用来显著降低ws服务器的速度,从而导致拒绝服务漏洞。
nodejs是是一个基于ChromeV8引擎的JavaScript运行环境通过对Chromev8引擎进行了封装以及使用事件驱动和非阻塞IO的应用让Javascript开发高性能的后台应用成为了可能。
nodejs-glob-parent 存在安全漏洞,该漏洞源于正则表达式拒绝服务。
lodash 是一个现代 JavaScript 实用程序库,提供模块化、性能和附加功能。由于对 CVE-2020-8203 的修复不完整,此软件包的受影响版本容易受到 zipObjectDeep 中的原型污染。
lodash 是一个现代 JavaScript 实用程序库,提供模块化、性能和附加功能。此软件包的受影响版本容易通过 setWith 和 set 函数受到原型污染。
web framework qs模块输入验证漏洞
输入验证不恰当
web framework是一种用来支持动态网站、网络应用程序和网络服务开发的框架。qs module是开发者在构建Web框架时使用的一个字符串查询解析模块。
web framework中的qs模块存在拒绝服务漏洞。攻击者可利用该漏洞造成拒绝服务(Web框架崩溃)。以下版本受到影响:qs 6.3.2之前的版本,6.2.3之前的版本,6.1.2之前的版本,6.0.4之前的版本。
ua-parser-js 资源管理错误漏洞
拒绝服务
ua-parser-js是基于JavaScript的User-Agent字符串解析器。可以在浏览器(客户端)或node.js(服务器端)环境中使用。也可以作为jQuery / Zepto插件,Bower / Meteor软件包和RequireJS / AMD模块使用。
ua-parser-js 0.7.23 之前版本存在安全漏洞,该漏洞源于ue -parser-js很容易受到正则表达式在多个正则表达式中的拒绝服务(ReDoS)的攻击。
Mikaelbr Node-notifier 操作系统命令注入漏洞
命令注入
Mikaelbr Node-notifier是Mikaelbr个人开发者的一个基于Javascript的用于为Mac、Windows、Linux发送统治的代码库。
node-notifier 9.0.0之前版本存在安全漏洞,该漏洞允许攻击者可利用该漏洞在Linux机器上运行任意命令,因为在传递数组时,选项参数没有被清除。
minimist是一款命令行参数解析工具。
minimist 1.2.2之前版本存在输入验证错误漏洞。攻击者可借助‘constructor’和‘__proto__’ payload利用该漏洞添加或修改Object.prototype的属性。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
merge-deep是开源的一个工具。用于递归合并 JavaScript 对象中的值。
merge-deep 3.0.3之前存在安全漏洞,该漏洞源于merge-deep库可能会被欺骗到覆盖Object的属性,merge-deep库可能会被欺骗到覆盖Object的属性。、
Follow Redirects 安全漏洞
侵犯隐私
Follow Redirects是一个自动遵循 Http(s) 重定向的 Node.js 模块。
Follow Redirects 存在安全漏洞,该漏洞源于follow-redirects容易暴露私人个人信息给未经授权的参与者。
http-proxy 是一个为大众提供 HTTP 代理的库。此软件包的受影响版本容易受到拒绝服务 (DoS) 的攻击。
评论