Node.js third-party modules

Node.js third-party modules 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 代码执行71
• 路径遍历63
• 跨站脚本48
• 拒绝服务39
• 其他弱点18
• 业务逻辑16
• 内存破坏13
• SQL 注入9
• 信息泄露9
• 服务端请求伪造5
• 密码学缺陷4
• 访问控制3
• 注入与走私3
• 跨站请求伪造2
• 开放重定向2
• 身份认证2

主要弱点

• 路径遍历63
• 资源消耗失控38
• 命令注入（通用）33
• 代码注入28
• 存储型 XSS28
• Unlabeled16
• Modification of Assumed-Immutable Data (MAID)14
• XSS（通用）13
• 越界读10
• SQL 注入9

常见资产

• Other moduleSOURCE_CODE · 87
• · 14
• serveSOURCE_CODE · 8
• lodashSOURCE_CODE · 7
• fastifySOURCE_CODE · 5
• express-cartSOURCE_CODE · 5
• buttleSOURCE_CODE · 4
• http-live-simulatorSOURCE_CODE · 4
• publicSOURCE_CODE · 4
• statics-serverSOURCE_CODE · 3

高票报告

当前状态 9 份 · 全部 307

1. 8
   Server-side Template Injection in lodash.js代码执行 · 2021-06-28 · 高危
   $0代码注入
2. 6
   Lodash "difference" (possibly others) Function Denial of Service Through Unvalidated Input拒绝服务 · 2019-12-05 · 严重
   $0资源消耗失控
3. 6
   [uppy] Stored XSS due to crafted SVG file跨站脚本 · 2018-03-02 · 中危
   $0存储型 XSS
4. 5
   stored xss in scrape-metadata when reading metadata from an html page跨站脚本 · 2018-07-27 · 高危
   $0存储型 XSS
5. 3
   `indexFile` option passed as an argument to node-server can lead to arbitrary file read路径遍历 · 2019-12-05 · 低危
   $0路径遍历
6. 3
   XSS in express-useragent through HTTP User-Agent跨站脚本 · 2018-07-06 · 未评级
   $0XSS（通用）
7. 3
   Privilage escalation with malicious .npmrc访问控制 · 2018-06-30 · 高危
   $0权限提升
8. 1
   Command Injection Vulnerability in win-fork/win-spawn Packages代码执行 · 2018-08-10 · 高危
   $0命令注入（通用）
9. 0
   npm packages that overlap with core node packages其他弱点 · 2018-06-16 · 高危
   $0钓鱼