Async是英国Caolan McMahon个人开发者的一个实用模块。用于使用异步 JavaScript。
Async 3.2.1 及之前版本存在安全漏洞,该漏洞源于 mapValues() 方法。攻击者可通过 mapValues() 方法获取权限。
shelljs是基于Node.js API 的 Unix shell 命令的可移植(Windows/Linux/OS X)实现。
shelljs存在安全漏洞,该漏洞源于不适当的权限管理,攻击者可利用该漏洞进行越权访问。
Follow Redirects 安全漏洞
侵犯隐私
Follow Redirects是一个自动遵循 Http(s) 重定向的 Node.js 模块。
Follow Redirects 存在安全漏洞,该漏洞源于follow-redirects容易暴露私人个人信息给未经授权的参与者。
conventional-commits-parser 存在ReDoS漏洞
ReDoS
常规提交解析器是 Parse 原始常规提交。由于缺少清理,此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
标记是一个低级编译器,用于解析降价而不需要长时间缓存或阻塞。此软件包的受影响版本容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Components trim 安全漏洞
拒绝服务
Components trim是Components团队的一个用于去除字符串两端空格的 Npm 代码库。
Service trim 所有版本存在安全漏洞,该漏洞源于容易受到通过trim()的正则表达式拒绝服务的攻击。
stevemao trim-off-newlines 处理逻辑错误漏洞
trim-off-newlines是NPM的用于删除换行符。
stevemao trim-off-newlines存在处理逻辑错误漏洞,该漏洞源于所有版本的 trim-off-newlines 都容易通过字符串处理受到正则表达式拒绝服务 (ReDoS) 的攻击。
cached-path-relative 安全漏洞
原型污染
cached-path-relative是一个开源的npm包。
cached-path-relative 1.1.0 之前版本存在安全漏洞,该漏洞源于对于缓存变量设置实现存在问题。软件容易受到原型污染。
follow-redirects project信息暴露漏洞
信息暴露
Exposure of Sensitive Information to an Unauthorized Actor in NPM follow-redirects prior to 1.14.8.
验证器是一个字符串验证器和消毒器库。此软件包的受影响版本容易通过 isEmail 函数受到正则表达式拒绝服务 (ReDoS) 的攻击。
Karma是一个简单的工具。允许在多个真实的浏览器中执行 JavaScript 代码。karma存在跨站脚本漏洞,该漏洞源于NPM karma中的DOM。目前没有详细的漏洞细节提供。
Engine.IO 代码问题漏洞
对因果或异常条件的不恰当检查
Engine.Io是一个 Socket.Io 的基于传输的跨浏览器/跨设备双向通信层的实现。
Engine.IO 中存在代码问题漏洞,该漏洞源于产品未对特殊HTTP请求引发的异常进行有效处理。攻击者可通过该漏洞导致异常并关闭nodejs引擎。
css-what是一个CSS选择器解析器。
css-what 5.0.1之前版本存在安全漏洞,该漏洞源于css-what包并不能确保属性解析具有相对于输入大小的线性时间复杂度。目前没有详细漏洞细节提供。
验证器是一个字符串验证器和消毒器库。此软件包的受影响版本通过 isSlug 函数容易受到正则表达式拒绝服务 (ReDoS) 的攻击。
Markdown-It是一个 Markdown 解析器。
Markdown-It存在安全漏洞,该漏洞源于Markdown—它是一个Markdown解析器。在1.3.2版本之前,长度大于5万个字符的特殊模式会显著降低解析器的速度。用户应该升级到12.3.2版本以接收补丁。除了升级之外,没有已知的变通办法。
Log4js-Node是一种 Log4js 到 Node.js 的端口。
log4js-node 存在安全漏洞,攻击者可利用该漏洞获取敏感信息。
Axios是一款基于Promise(异步编程的一种解决方案)的HTTP客户端。
Axios NPM package 0.21.0版本存在安全漏洞,攻击者可利用该漏洞能够通过提供一个URL绕过代理,该URL通过重定向响应一个受限制的主机或IP地址。
karma是一个简单的工具,允许您在多个 真实浏览器中执行 JavaScript 代码。karma 6.3.16之前版本存在安全漏洞,该漏洞源于缺少对返回url查询参数的验证,攻击者可利用该漏洞执行重定向攻击。
shell-quote是开源的一个软件包。用于解析和引用 shell 命令。
shell-quote package存在安全漏洞,攻击者可利用该漏洞可以植入任意代码从而执行相关操作。
trim-newlines是一个修改换行符的npm包。
trim-newlines 存在安全漏洞,该漏洞源于应用于Node.js在3.0.1与4.0.1版本及之前版本中.end()方法存在相关问题。
评论