kind-of是一款JavaScript类型检查软件包。
kind-of v6.0.2版本中的index.js文件的‘ctorName’函数存在注入漏洞，攻击者可利用该漏洞覆盖内部属性，操纵类型检查的结果。
jpeg-js是一款基于JavaScript的图像处理程序。
jpeg-js 0.4.0之前版本中存在资源管理错误漏洞。攻击者可借助特制的JPEG图像利用该漏洞造成拒绝服务。
lodash是一款开源的JavaScript实用程序库。 lodash 4.17.15及之前版本中存在输入验证错误漏洞。远程攻击者可借助'merge'、'mergeWith'和'defaultsDeep'函数利用该漏洞在系统上执行任意代码。
URL -parse 输入验证错误漏洞
跨站重定向
Arnout Kazemier url-parse是美国Arnout Kazemiere（Arnout Kazemier）个人开发者的一个应用软件。提供url解析。
URL -parse 存在输入验证错误漏洞，该漏洞源于URL -parse容易被URL重定向到不可信站点
lodash是一个提供模块化、性能和附加功能的现代 JavaScript 实用程序库。
4.17.21 之前的 Lodash 版本容易通过模板函数进行命令注入。
Sindre Sorhus IS-SVG 安全漏洞
不加限制或调节的资源分配
Sindre Sorhus is-svg是 （Sindre Sorhus）开源的一个应用软件。提供检查字符串或缓冲区是否为SVG功能。
IS-SVG 存在安全漏洞，该漏洞源于当应用程序检查一个精心制作的无效SVG字符串时，就会出现正则表达式拒绝服务(ReDOS)。
node-sass 是 libsass 的 Node.js 绑定包。此软件包的受影响版本容易受到拒绝服务 (DoS) 的攻击。
NPM url-parse 安全漏洞
通过用户控制密钥绕过授权机制
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
NPM url-parse 存在安全漏洞，该漏洞源于在1.5.6之前的NPM url-parse中，通过用户控制的密钥绕过授权。
ua-parser-js 资源管理错误漏洞
拒绝服务
ua-parser-js是基于JavaScript的User-Agent字符串解析器。可以在浏览器（客户端）或node.js（服务器端）环境中使用。也可以作为jQuery / Zepto插件，Bower / Meteor软件包和RequireJS / AMD模块使用。
ua-parser-js 0.7.23 之前版本存在安全漏洞，该漏洞源于ue -parser-js很容易受到正则表达式在多个正则表达式中的拒绝服务(ReDoS)的攻击。
decompress package 路径遍历漏洞
路径遍历
decompress package是一款解压缩软件包。
decompress package 4.2.1之前版本（Node.js）中存在路径遍历漏洞。攻击者可借助‘../’字符串利用该漏洞写入任意文件。
node-tar是一款用于文件压缩/解压缩的软件包。
Npm Node-tar 中存在后置链接漏洞，该漏洞源于产品未对特殊字符做有效验证。攻击者可通过该漏洞在其他路径创建恶意文件。
markdown-it 存在拒绝服务漏洞
拒绝服务
markdown-it 是一个现代的可插拔 Markdown 解析器。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Ajv 6.12.2版本中的ajv.validate()函数中存在输入验证错误漏洞。攻击者可利用该漏洞执行代码或造成拒绝服务。
Dan DeFelippi node-XMLHttpRequest 信任管理问题漏洞
证书验证不恰当
Dan DeFelippi node-XMLHttpRequest是 （Dan DeFelippi）开源的一个应用软件。用于模拟浏览器XMLHttpRequest对象。
Node.js xmlhttprequest-ssl package 1.6.1之前版本存在信任管理问题漏洞，该漏洞源于任何证书都不会被拒绝。
istanbul-reports 存在通过 window.opener 访问使用指向不受信任目标的 Web 链接漏洞
通过 window.opener 访问使用指向不受信任目标的 Web 链接
由于指向 https://istanbul 的链接中没有 rel 属性，因此该软件包的受影响版本容易受到反向 Tabnabbing 的攻击。
LibSass是一个开源的使用C语言编写的Sass（CSS扩展语言）解析器。
LibSass 3.4.x版本和3.5.x版本至3.5.4版本中的sass_context.cpp文件的‘handle_error()’函数存在资源管理错误漏洞。该漏洞源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的管理不当。
SockJS 输入验证错误漏洞
对异常条件的处理不恰当
SockJS是一款浏览器JavaScript库。
SockJS 0.3.20之前版本中存在安全漏洞，该漏洞源于程序没有正确处理Upgrade标头。攻击者可利用该漏洞导致托管sockjs应用程序的容器崩溃。
npm node-fetch 安全漏洞
不加限制或调节的资源分配
node-fetch 2.6.1和3.0.0-beta版本中存在安全漏洞。该漏洞源于内容大小超过限制时，将永远不会抛出FetchError。
Mout是Mout团队的一个基于Javascript的为JS编程提供模块支持的代码库。
Mout 存在安全漏洞，该漏洞源于deepFillIn函数可以用来“递归地填充缺失的属性”，而deepMixIn“将对象混合到目标对象中，同时递归地混合现有的子对象”。在这两种情况下，用于递归访问目标对象的键都没有被检查，从而导致原型污染。
Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞，该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
评论