Url-Parse是一个跨Node.js和浏览器环境无缝工作的小型Url解析器。NPM url-parse 1.5.8之前版本存在授权绕过漏洞，攻击者可利用该漏洞通过用户控制的密钥绕过授权。
Immer 安全漏洞
使用不兼容类型访问资源（类型混淆）
Immer是Immer社区的一个基于Javascript的状态管理库。。
immer 9.0.6之前版本存在安全漏洞，该漏洞源于当path参数中使用的用户提供的密钥是数组时，可能导致绕过CVE-2020-28477。
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
ejs 是一个流行的 JavaScript 模板引擎。此软件包的受影响版本容易受到通过渲染和渲染文件的任意代码注入的攻击。
istanbul-reports 存在通过 window.opener 访问使用指向不受信任目标的 Web 链接漏洞
通过 window.opener 访问使用指向不受信任目标的 Web 链接
由于指向 https://istanbul 的链接中没有 rel 属性，因此该软件包的受影响版本容易受到反向 Tabnabbing 的攻击。
follow-redirects project信息暴露漏洞
信息暴露
Exposure of Sensitive Information to an Unauthorized Actor in NPM follow-redirects prior to 1.14.8.
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。Digital Bazaar Forge1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于SA PKCS＃1 v1.5签名验证码无法正确检查DigestInfo以获得正确的 ASN.1 结构。攻击者可以发送特殊的签名利用该漏洞以验证包含无效结构但有效摘要的签名。
Axios 是一个基于promise 网络请求库。
漏洞版本的axios 容易受到低效正则表达式复杂性的影响，从而引发拒绝服务 (ReDoS) 的攻击。
shell-quote是开源的一个软件包。用于解析和引用 shell 命令。
shell-quote package存在安全漏洞，攻击者可利用该漏洞可以植入任意代码从而执行相关操作。
Digital Bazaar Forge 输入验证错误漏洞
跨站重定向
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Digital Bazaar Forge 中存在输入验证错误漏洞，该漏洞源于产品允许URL重定向到不受信任的站点。
Follow Redirects 安全漏洞
侵犯隐私
Follow Redirects是一个自动遵循 Http(s) 重定向的 Node.js 模块。
Follow Redirects 存在安全漏洞，该漏洞源于follow-redirects容易暴露私人个人信息给未经授权的参与者。
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。digitalbazaar Forge 1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于RSA PKCS＃1 v1.5签名验证码在解码 `DigestInfo` ASN.1 结构后不检查尾随垃圾字节。攻击者可以删除填充字节利用该漏洞添加垃圾数据以伪造签名。
Unshiftio Url-parse 访问控制错误漏洞
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
Unshiftio Url-parse 中存在访问控制错误漏洞，该漏洞源于产品对用户控制的密钥缺少有效的保护机制。攻击者可通过该漏洞绕过授权。以下产品及版本受到影响：Unshiftio Url-parse 1.5.9 之前版本。
Immer是Immer社区的一个基于Javascript的状态管理库。。
Immer 所有版本存在安全漏洞，目前尚无此漏洞的相关信息，请随时关注CNNVD或厂商公告。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
url-parse 安全漏洞
通过用户控制密钥绕过授权机制
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
url-parse 1.5.7之前版本存在安全漏洞，攻击者可利用该漏洞通过用户控制的密钥绕过授权。
pytorch-lightning 安全漏洞
代码注入
Pytorch-Lightning是一个开源轻量级 PyTorch 包装器。用于高性能 Ai 研究。
GitHub repository pytorchlightning/pytorch-lightning 1.6.0之前版本存在安全漏洞，攻击者可利用该漏洞向GitHub存储库中注入代码。
nanoid是用于 JavaScript 的小型、安全、URL 友好、唯一的字符串 ID 生成器。
nanoid安全中存在漏洞，该漏洞源于nanoid 容易通过 valueOf() 函数受到信息暴露的影响，该函数允许重现最后生成的 id。
Pytorch-Lightning代码问题漏洞
反序列化
Pytorch-Lightning是一个开源轻量级PyTorch包装器。用于高性能Ai研究。pytorch-lightning存在代码问题漏洞，该漏洞源于软件容易对不可信数据进行反序列化，攻击者可利用该漏洞导致在受害者机器上执行代码。
node-forge 是网络传输、密码学、密码、PKI、消息摘要和各种实用程序的 JavaScript 实现。此软件包的受影响版本容易受到通过伪造的原型污染。
评论