Katalog podatności CVE

Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach od 0.28.0 do 0.30.2 oraz 1.12.0, gdy Axios działa na Node.js i otrzymuje URL z schematem `data:`, nie wykonuje żądania HTTP, lecz dekoduje cały ładunek do pamięci.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko uruchomieniowe JavaScript. W wersjach przed 4.12.18, niewłaściwa walidacja roszczeń JWT NumericDate exp, nbf i iat w hono/utils/jwt pozwala na ciche pominięcie kontroli czasowych przez tokeny z wartościami roszczeń, które nie są zgodne ze specyfikacją.

Biblioteka do rozszerzania nawiasów generuje dowolne ciągi zawierające wspólny prefiks i sufiks. W wersjach przed 5.0.5, 3.0.2, 2.0.3 i 1.1.13, wzór z nawiasami z wartością kroku równą zero (np. `{1..2..0}`) powoduje, że pętla generująca sekwencję działa w nieskończoność, co prowadzi do zawieszenia procesu.

Wersje pakietu @tootallnate/once przed 3.0.1 są podatne na nieprawidłowe zarządzanie przepływem kontroli podczas rozwiązywania obietnic, gdy używana jest opcja AbortSignal. Obietnica pozostaje w stanie oczekiwania po anulowaniu sygnału, co powoduje, że każde użycie await lub .then() wiesza się na czas nieokreślony.

LangChain to framework do budowania aplikacji opartych na LLM. Przed wersją 1.1.8 występuje luka typu Server-Side Request Forgery (SSRF) w `RecursiveUrlLoader` w `@langchain/community`, która pozwala na obejście zabezpieczeń związanych z przekierowaniami.

Podatność CVE-2022-4055 dotyczy niewłaściwego parsowania URL w xdg-mail, gdy jest skonfigurowany do używania Thunderbirda dla linków mailto. Może to prowadzić do przekazywania dodatkowych nagłówków do Thunderbirda, które nie powinny być dołączane zgodnie z RFC 2368.

W NGINX OSS i NGINX Plus występuje podatność, gdy są skonfigurowane do proxy do serwerów TLS. Atakujący z pozycją man-in-the-middle (MITM) po stronie serwera upstream może być w stanie wstrzyknąć dane w postaci tekstu jawnego.