Node.js third-party modules

Node.js third-party modules 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 代码执行71
• 路径遍历63
• 跨站脚本48
• 拒绝服务39
• 其他弱点18
• 业务逻辑16
• 内存破坏13
• SQL 注入9
• 信息泄露9
• 服务端请求伪造5
• 密码学缺陷4
• 访问控制3
• 注入与走私3
• 跨站请求伪造2
• 开放重定向2
• 身份认证2

主要弱点

• 路径遍历63
• 资源消耗失控38
• 命令注入（通用）33
• 代码注入28
• 存储型 XSS28
• Unlabeled16
• Modification of Assumed-Immutable Data (MAID)14
• XSS（通用）13
• 越界读10
• SQL 注入9

常见资产

• Other moduleSOURCE_CODE · 87
• · 14
• serveSOURCE_CODE · 8
• lodashSOURCE_CODE · 7
• fastifySOURCE_CODE · 5
• express-cartSOURCE_CODE · 5
• buttleSOURCE_CODE · 4
• http-live-simulatorSOURCE_CODE · 4
• publicSOURCE_CODE · 4
• statics-serverSOURCE_CODE · 3

高票报告

当前状态 296 份 · 全部 307

1. 61
   [http_server] Stored XSS in the filename when directories listing跨站脚本 · 2019-09-13 · 低危
   $0存储型 XSS
2. 43
   Server-Side Request Forgery (SSRF) in Ghost CMS服务端请求伪造 · 2020-03-09 · 中危
   $0SSRF
3. 33
   property-expr - Prototype pollution业务逻辑 · 2020-09-24 · 高危
   $0Modification of Assumed-Immutable Data (MAID)
4. 27
   [socket.io] Cross-Site Websocket Hijacking跨站请求伪造 · 2021-01-31 · 高危
   $0跨站请求伪造
5. 25
   Pixel flood attack cause the javascript heap out of memory拒绝服务 · 2020-05-21 · 中危
   $0资源消耗失控
6. 25
   Fastify denial-of-service vulnerability with large JSON payloads拒绝服务 · 2018-01-26 · 严重
   $0资源消耗失控
7. 23
   [Uppy] Internal Server side request forgery (bypass of #786956)服务端请求伪造 · 2020-06-28 · 严重
   $0SSRF
8. 22
   Server Side Request Forgery in Uppy npm module服务端请求伪造 · 2020-03-02 · 高危
   $0SSRF
9. 21
   [takeapeek] XSS via HTML tag injection in directory lisiting page跨站脚本 · 2019-07-01 · 中危
   $0存储型 XSS
10. 20
    Prototype pollution attack (lodash)拒绝服务 · 2020-04-28 · 高危
    $0Allocation of Resources Without Limits or Throttling
11. 20
    [seeftl] Stored XSS when directory listing via filename.跨站脚本 · 2019-12-31 · 中危
    $0存储型 XSS
12. 19
    [glance] Access unlisted internal files/folders revealing sensitive information信息泄露 · 2019-03-01 · 高危
    $0目录列表泄露
13. 17
    bunyan - RCE via insecure command formatting代码执行 · 2020-06-27 · 高危
    $0代码注入
14. 16
    [Total.js] Path traversal vulnerability allows to read files outside public directory路径遍历 · 2020-04-26 · 中危
    $0路径遍历
15. 16
    [buttle] Unsafe rendering of Markdown files跨站脚本 · 2019-01-06 · 低危
    $0XSS（通用）
16. 16
    Reflected XSS in the npm module express-cart.跨站脚本 · 2019-02-15 · 中危
    $0反射型 XSS
17. 15
    [logkitty] RCE via insecure command formatting代码执行 · 2020-05-09 · 高危
    $0代码注入
18. 15
    Several simple remote code execution in pdf-image代码执行 · 2020-02-24 · 严重
    $0代码注入
19. 15
    [tree-kill] RCE via insecure command concatenation (only Windows)代码执行 · 2019-12-05 · 高危
    $0代码注入
20. 15
    [typeorm] SQL InjectionSQL 注入 · 2019-04-02 · 高危
    $0SQL 注入
21. 15
    [bower] Arbitrary File Write through improper validation of symlinks while package extraction路径遍历 · 2019-01-26 · 高危
    $0路径遍历
22. 15
    List any file in the folder by using path traversal路径遍历 · 2018-11-23 · 中危
    $0路径遍历
23. 15
    Prototype pollution attack (lodash / constructor.prototype)拒绝服务 · 2018-10-30 · 高危
    $0资源消耗失控
24. 15
    [pdfinfojs] Command Injection on filename parameter代码执行 · 2018-04-19 · 高危
    $0命令注入（通用）
25. 15
    [serve] Directory listing and File access even when they have been set to be ignored.信息泄露 · 2018-03-13 · 严重
    $0目录列表泄露