http-proxy 是一个为大众提供 HTTP 代理的库。此软件包的受影响版本容易受到拒绝服务 (DoS) 的攻击。
Digital Bazaar Forge数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个Tls在Javascript中的本机实现以及用于编写基于加密和网络密集型Web应用程序的开源工具。Digital Bazaar Forge1.3.0之前版本存在数据伪造问题漏洞，该漏洞源于SA PKCS＃1 v1.5签名验证码无法正确检查DigestInfo以获得正确的 ASN.1 结构。攻击者可以发送特殊的签名利用该漏洞以验证包含无效结构但有效摘要的签名。
superagent 是一个小型渐进式客户端 HTTP 请求库，与 Node.js 模块具有相同的 API，支持许多高级 HTTP 客户端功能。由于将授权内容发送给第三方，因此该软件包的受影响版本容易受到信息泄露的影响。
Dan DeFelippi node-XMLHttpRequest是 （Dan DeFelippi）开源的一个应用软件。用于模拟浏览器XMLHttpRequest对象。
node-XMLHttpRequest before 1.7.0 存在代码注入漏洞，攻击者可利用该漏洞导致任意代码注入并运行。
Nathan Rajlich node-http-proxy-agent 安全漏洞
初始化不恰当
Nathan Rajlich node-http-proxy-agent是 （Nathan Rajlich）开源的一个应用程序。提供了一种http.Agent连接到指定的HTTP或HTTPS代理服务器的实现，并且可以与内置http模块一起使用。
http-proxy-agent prior to version 2.1.0 存在安全漏洞，该漏洞源于攻击者可利用该漏洞在设置中提交类型化输入到auth参数，从而导致未初始化的内存泄漏，从而暴露数据。
Digital Bazaar Forge 数据伪造问题漏洞
密码学签名的验证不恰当
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Forge 1.3.0 版本之前 RSA PKCS 存在数据伪造问题漏洞，该漏洞源于 RSA PKCS 签名验证码对摘要算法结构的检查较为宽松。攻击者可以通过精心设计的结构窃取填充字节并在使用低公共指数时使用 PKCS＃1 编码消息的未检查部分来伪造签名。
Unshiftio Url-parse 访问控制错误漏洞
Url-Parse是一个跨 Node.js 和浏览器环境无缝工作的小型 Url 解析器。
Unshiftio Url-parse 中存在访问控制错误漏洞，该漏洞源于产品对用户控制的密钥缺少有效的保护机制。攻击者可通过该漏洞绕过授权。以下产品及版本受到影响：Unshiftio Url-parse 1.5.9 之前版本。
SockJS 输入验证错误漏洞
对异常条件的处理不恰当
SockJS是一款浏览器JavaScript库。
SockJS 0.3.20之前版本中存在安全漏洞，该漏洞源于程序没有正确处理Upgrade标头。攻击者可利用该漏洞导致托管sockjs应用程序的容器崩溃。
node-tar是一款用于文件压缩/解压缩的软件包。
Npm Node-tar 中存在后置链接漏洞，该漏洞源于产品未对特殊字符做有效验证。攻击者可通过该漏洞在其他路径创建恶意文件。
Log4js-Node是一种 Log4js 到 Node.js 的端口。
log4js-node 存在安全漏洞，攻击者可利用该漏洞获取敏感信息。
Joyent Node.js semver 资源管理错误漏洞
资源管理错误
Joyent Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。semver是一个npm（Node.js包管理和分发工具）中的语意化版本控制规范模块。
Joyent Node.js中的semver 4.3.1及之前的版本存在安全漏洞。攻击者可利用该漏洞造成拒绝服务（CPU消耗）。
decompress package 路径遍历漏洞
路径遍历
decompress package是一款解压缩软件包。
decompress package 4.2.1之前版本（Node.js）中存在路径遍历漏洞。攻击者可借助‘../’字符串利用该漏洞写入任意文件。
superagent是一个小型的渐进式HTTP客户端请求库。
superagent中存在安全漏洞。攻击者可利用该漏洞造成拒绝服务（CPU或内存大量消耗）。
serialize-javascript 代码问题漏洞
反序列化
Verizon serialize-javascript是美国威瑞森电信（Verizon）公司的一款支持将JavaScript序列化为 JSON超集的软件包。
serialize-javascript 3.1.0之前版本中存在代码问题漏洞。远程攻击者可借助index.js文件中的‘deleteFunctions’函数利用该漏洞注入任意代码。
Socketio Engineio 资源管理错误漏洞
拒绝服务
Socketio Engineio是Socketio社区的一个基于Javascript用于浏览器与设备进行双向通信的实时引擎。
Socketio Engine.IO before 4.0.0 存在安全漏洞，攻击者可利用该漏洞通过对长轮询传输的POST请求导致拒绝服务(资源消耗)。
Socketio Socket.io 访问控制错误漏洞
源验证错误
Socketio Socket.io是Socketio社区的一个基于Javascript的支持基于事件双向通信的服务器端应用。
socket.io before 2.4.0 存在安全漏洞，该漏洞源于CORS配置错误，容易出现不安全的默认值。
Sindre Sorhus IS-SVG 安全漏洞
不加限制或调节的资源分配
Sindre Sorhus is-svg是 （Sindre Sorhus）开源的一个应用软件。提供检查字符串或缓冲区是否为SVG功能。
IS-SVG 存在安全漏洞，该漏洞源于当应用程序检查一个精心制作的无效SVG字符串时，就会出现正则表达式拒绝服务(ReDOS)。
tar 是用于 Node.js 的全功能 Tar。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
web framework qs模块输入验证漏洞
输入验证不恰当
web framework是一种用来支持动态网站、网络应用程序和网络服务开发的框架。qs module是开发者在构建Web框架时使用的一个字符串查询解析模块。
web framework中的qs模块存在拒绝服务漏洞。攻击者可利用该漏洞造成拒绝服务（Web框架崩溃）。以下版本受到影响：qs 6.3.2之前的版本，6.2.3之前的版本，6.1.2之前的版本，6.0.4之前的版本。
Digital Bazaar Forge 输入验证错误漏洞
跨站重定向
Digital Bazaar Forge是美国Digital Bazaar公司的一个 Tls 在 Javascript 中的本机实现以及用于编写基于加密和网络密集型 Web 应用程序的开源工具。
Digital Bazaar Forge 中存在输入验证错误漏洞，该漏洞源于产品允许URL重定向到不受信任的站点。
评论