Moment.js 是一个 JavaScript 日期库。用于解析、验证、操作和格式化日期。
Moment.js 在处理嵌套 rfc2822 注释内容时正则表达式执行时间不断的指数增大，导致服务不可用。
攻击者可利用该漏洞使目标服务停止响应甚至崩溃。
此软件包的受影响版本容易受到源/修剪中的正则表达式拒绝服务 (ReDoS) 的攻击。
parse-path 安全漏洞
通过用户控制密钥绕过授权机制
parse-path是Ionică Bizău个人开发者的一个库。用于解析路径。
parse-path 5.0.0之前版本存在安全漏洞，该漏洞源于应用中存在用户控制的密钥缺少有效的限制。攻击者利用该漏洞可以绕过授权。
gatsby是一个应用软件。一个基于 React 的免费开源框架，可帮助开发人员构建极快的网站和应用程序。
gatsby plugin mdx 2.14.1 及之前的版本、3.15.2 之前的版本存在安全漏洞，该漏洞源于在将输入传递到gray-matter时容易受到不可信数据的反序列化。
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。Digital Bazaar Forge1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于SA PKCS＃1 v1.5签名验证码无法正确检查DigestInfo以获得正确的 ASN.1 结构。攻击者可以发送特殊的签名利用该漏洞以验证包含无效结构但有效摘要的签名。
github ws是一个应用软件。一种易于使用，运行迅速且经过全面测试的WebSocket客户端和服务器实现的方法。
漏洞版本中“Sec-Websocket-Protocol”标头的一个特殊的值可以用来显著降低ws服务器的速度，从而导致拒绝服务漏洞。
Digital Bazaar Forge 输入验证错误漏洞
跨站重定向
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Digital Bazaar Forge 中存在输入验证错误漏洞，该漏洞源于产品允许URL重定向到不受信任的站点。
devcert 是为本地 SSL 开发生成受信任的本地 SSL/TLS 证书。由于 VALID_DOMAIN 参数，此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
event-source-polyfill 存在内嵌恶意代码漏洞
内嵌恶意代码
event-source-polyfill 是 http://www.w3.org/TR/eventsource/ 的一个 polyfill 此软件包的受影响版本容易受到意外行为的影响。
istanbul-reports 存在通过 window.opener 访问使用指向不受信任目标的 Web 链接漏洞
通过 window.opener 访问使用指向不受信任目标的 Web 链接
由于指向 https://istanbul 的链接中没有 rel 属性，因此该软件包的受影响版本容易受到反向 Tabnabbing 的攻击。
node-forge 是网络传输、密码学、密码、PKI、消息摘要和各种实用程序的 JavaScript 实现。此软件包的受影响版本容易受到通过伪造的原型污染。
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。digitalbazaar Forge 1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于RSA PKCS＃1 v1.5签名验证码在解码 `DigestInfo` ASN.1 结构后不检查尾随垃圾字节。攻击者可以删除填充字节利用该漏洞添加垃圾数据以伪造签名。
react-dev-utils 操作系统命令注入漏洞
命令注入
Helper create-react-app是 （Helper）开源的一个应用程序。用于隐藏在弹出时不应给用户带来负担的代码。
react-dev-utils prior to v11.0.4 存在操作系统命令注入漏洞，该漏洞源于当使用用户提供的值手动调用这个getProcessForPort函数时，才有可能出现命令注入。
trim-newlines是一个修改换行符的npm包。
trim-newlines 存在安全漏洞，该漏洞源于应用于Node.js在3.0.1与4.0.1版本及之前版本中.end()方法存在相关问题。
nodejs是是一个基于ChromeV8引擎的JavaScript运行环境通过对Chromev8引擎进行了封装以及使用事件驱动和非阻塞IO的应用让Javascript开发高性能的后台应用成为了可能。
nodejs-glob-parent 存在安全漏洞，该漏洞源于正则表达式拒绝服务。
stylelint 存在ReDoS漏洞
ReDoS
stylelint 是一种 linter，可帮助您避免错误并在样式中强制执行约定。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Digital Bazaar Forge 数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Forge 1.3.0 版本之前 RSA PKCS 存在数据伪造问题漏洞，该漏洞源于 RSA PKCS 签名验证码对摘要算法结构的检查较为宽松。攻击者可以通过精心设计的结构窃取填充字节并在使用低公共指数时使用 PKCS＃1 编码消息的未检查部分来伪造签名。
Components trim 安全漏洞
拒绝服务
Components trim是Components团队的一个用于去除字符串两端空格的 Npm 代码库。
Service trim 所有版本存在安全漏洞，该漏洞源于容易受到通过trim()的正则表达式拒绝服务的攻击。
shell-quote是开源的一个软件包。用于解析和引用 shell 命令。
shell-quote package存在安全漏洞，攻击者可利用该漏洞可以植入任意代码从而执行相关操作。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
评论