sqlparse是 Python 的非验证 SQL 解析器。它提供对 SQL 语句的解析、拆分和格式化的支持。
sqlparse 0.4.0 和 0.4.1 版本中存在资源管理错误漏洞，该漏洞允许攻击者进行ReDoS（正则表达式拒绝服务）的攻击。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
Engine.IO 代码问题漏洞
对因果或异常条件的不恰当检查
Engine.Io是一个 Socket.Io 的基于传输的跨浏览器/跨设备双向通信层的实现。
Engine.IO 中存在代码问题漏洞，该漏洞源于产品未对特殊HTTP请求引发的异常进行有效处理。攻击者可通过该漏洞导致异常并关闭nodejs引擎。
Django Trunc和Extract方法存在 SQL 注入漏洞
SQL注入
Django 是一个 Python Web 框架。
如果没有对 kind / lookup_name 值进行安全性校验，则Trunc()和Extract()数据库函数会受到 SQL 注入的影响。
攻击者可利用该漏洞进行 SQL 注入攻击。
利用条件：代码中使用了 Trunc() 和 Extract() 方法，其中 kind 参数和lookup_name 参数可控
SimpleGeo python-oauth2 多个可预测随机数生成器漏洞
密码学问题
SimpleGeo python-oauth2是一个Python语言的OAuth 2的实现，它包括客户端和服务器端。
SimpleGeo python-oauth2中的‘make_nonce’、‘generate_nonce’、‘generate_verifier’函数存在安全漏洞，该漏洞源于程序生成nonce值使用弱的随机数。远程攻击者可通过实施暴力攻击利用该漏洞猜出nonce值。
Ajv 6.12.2版本中的ajv.validate()函数中存在输入验证错误漏洞。攻击者可利用该漏洞执行代码或造成拒绝服务。
httplib2是一款HTTP客户端库。
httplib2 0.19.0之前的版本中存在安全漏洞，该漏洞源于在 www-authenticate 报头中响应长串 xa0 字符可能会导致httpplib2客户端访问该服务器时拒绝服务。
** 有争议 ** NumPy 1.9.x 中 ctors.c 的 PyArray_NewFromDescr_int 函数中存在缓冲区溢出漏洞，当从 Python 代码中指定大维度（超过 32 个）数组时，这可能会让恶意用户导致拒绝服务。注意：供应商不同意这是一个漏洞；在（非常有限的）情况下，用户可能会引发缓冲区溢出，用户很可能已经拥有至少通过耗尽内存来引发拒绝服务的特权。进一步触发此操作需要使用不常见的 API（复杂的结构化数据类型），非特权用户不太可能使用该 API。
urllib3是一款Python HTTP库。该产品具有线程安全连接池、文件发布支持等。
urllib3 library 1.26.x before 1.26.4 存在信任管理问题漏洞，该漏洞源于SSLContext正确验证的其他服务器的证书将被静默接受。
** 有争议 ** 由于缺少返回值验证，NumPy < 中的 numpy.sort 和 PyArray_DescrNew 函数中的 1.19 中存在空指针取消引用漏洞，这使得攻击者可以通过重复创建排序数组来进行 DoS 攻击。注意：虽然正确的是缺少验证，但只有内存耗尽才会发生错误。如果用户可以耗尽内存，则他们已经拥有特权。此外，实际上不可能构建一个可以针对恰好在此位置发生的内存耗尽的攻击。
lodash 是一个现代 JavaScript 实用程序库，提供模块化、性能和附加功能。此软件包的受影响版本容易通过 setWith 和 set 函数受到原型污染。
lodash是一款开源的JavaScript实用程序库。 lodash 4.17.15及之前版本中存在输入验证错误漏洞。远程攻击者可借助'merge'、'mergeWith'和'defaultsDeep'函数利用该漏洞在系统上执行任意代码。
Yargs Y18n 输入验证错误漏洞
动态确定对象属性修改的控制不恰当
Yargs Y18n是Yargs个人开发者的一个类似I18n的由Js编写的代码库。
y18n before 3.2.2, 4.0.1 and 5.0.5版本存在输入验证错误漏洞，该漏洞源于网络系统或产品未对输入的数据进行正确的验证。
celery是开源的一个用于分布式任务队列的包。celery 5.2.2之前版本存在命令注入漏洞，攻击者可利用该漏洞访问或以某种方式操纵celery后端中的元数据，触发存储命令注入漏洞。
urllib3是一款Python HTTP库。该产品具有线程安全连接池、文件发布支持等。
Urllib3 存在资源管理错误漏洞，该漏洞源于在鉴权模块的URL中添加@参数导致，攻击者可利用该漏洞引起资源冲突导致拒绝服务。以下产品及型号会受到影响：Urllib3 0.3, 0.3.1, 0.4, 0.4.1, 1.0, 1.0.1, 1.0.2, 1.1, 1.2, 1.2.1, 1.3, 1.4, 1.5, 1.6, 1.7, 1.7.1, 1.8, 1.8.1, 1.8.2, 1.8.3, 1.9, 1.9.1, 1.10, 1.10.1, 1.10.2, 1.10.3, 1.10.4, 1.11, 1.12, 1.13, 1.13.1, 1.14, 1.15, 1.15.1, 1.16, 1.17, 1.18, 1.18.1, 1.19, 1.19.1, 1.20, 1.21, 1.21.1, 1.22, 1.23, 1.24, 1.24.1, 1.24.2, 1.24.3, 1.25, 1.25.1, 1.25.2, 1.25.3, 1.25.4, 1.25.5, 1.25.6, 1.25.7, 1.25.8, 1.25.9, 1.25.10, 1.25.11, 1.26.0, 1.26.1, 1.26.2, 1.26.3, 1.26.4。
Moment.js 是一个 JavaScript 日期库。用于解析、验证、操作和格式化日期。
Moment.js 在处理嵌套 rfc2822 注释内容时正则表达式执行时间不断的指数增大，导致服务不可用。
攻击者可利用该漏洞使目标服务停止响应甚至崩溃。
acorn 是一个用 JavaScript 编写的小巧、快速的 JavaScript 解析器。此软件包的受影响版本通过 /[x-\ud800]/u 形式的正则表达式容易受到正则表达式拒绝服务 (ReDoS) 的攻击，这会导致解析器进入无限循环。
lodash 是一个现代 JavaScript 实用程序库，提供模块化、性能和附加功能。由于对 CVE-2020-8203 的修复不完整，此软件包的受影响版本容易受到 zipObjectDeep 中的原型污染。
yargs-parser 输入验证错误漏洞
输入验证不恰当
yargs-parser是一款选项解析器。
yargs-parser 13.1.2之前版本、14.0.0及之后版本（15.0.1版本已修复）和16.0.0及之后版本（18.1.1版本已修复）中存在输入验证错误漏洞。攻击者可借助‘__proto__’payload利用该漏洞添加或修改Object.prototype属性。
NumPy 1.22.0 之前的 numpy.core 组件中的不完整字符串比较允许攻击者通过构造特定字符串对象来触发稍微不正确的复制。注意：供应商声明此报告的代码行为是“完全无害的”。
评论