CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 0CVE-2019-10135
https://notcve.org/view.php?id=CVE-2019-10135
A flaw was found in the yaml.load() function in the osbs-client versions since 0.46 before 0.56.1. Insecure use of the yaml.load() function allowed the user to load any suspicious object for code execution via the parsing of malicious YAML files. Se detectó una vulnerabilidad de desbordamiento del búfer de la pila en hyperloglog data structure versiones 3.x anteriores a 3.2.13, versiones 4.x anteriores a 4.0.14 y versiones 5.x anteriores a 5.0.4 de Redis. Por la corrupción cuidadosa de un hyperloglog usando el comando SETRANGE, un atacante podría engañar la interpretación de Redis de codificación HLL densa para escribir hasta 3 bytes más allá del final de un búfer asignado a la pila. • https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10135 https://github.com/containerbuildsystem/osbs-client/pull/865 • CWE-502: Deserialization of Untrusted Data •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2013-7464
https://notcve.org/view.php?id=CVE-2013-7464
In csrf-magic before 1.0.4, if $GLOBALS['csrf']['secret'] is not configured, the Anti-CSRF Token used is predictable and would permit an attacker to bypass the CSRF protections, because an automatically generated secret is not used. En csrf-magic en versiones anteriores a la 1.0.4, si $GLOBALS['csrf']['secret'] no está configurado, el token Anti-CSRF empleado es predecible y permitiría que un atacante omita las protecciones CSRF. Esto se debe a que no se emplea un secreto generado automáticamente. • http://csrf.htmlpurifier.org/news/2013/0717-1.0.4-released http://repo.or.cz/csrf-magic.git/blob/HEAD:/NEWS.txt http://repo.or.cz/csrf-magic.git/commit/9d2537f70d58b16aeba89779aaf1573b8d618e11 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 1CVE-2017-16125
https://notcve.org/view.php?id=CVE-2017-16125
rtcmulticonnection-client is a signaling implementation for RTCMultiConnection.js, a multi-session manager. rtcmulticonnection-client is vulnerable to a directory traversal issue, giving an attacker access to the filesystem by placing "../" in the url. rtcmulticonnection-client es una implementación de señalización para RTCMultiConnection.js, un gestor multisesión. rtcmulticonnection-client es vulnerable a un problema de salto de directorio que otorga a un atacante acceso al sistema de archivos colocando "../" en la URL. • https://github.com/JacksonGL/NPM-Vuln-PoC/tree/master/directory-traversal/rtcmulticonnection-client https://nodesecurity.io/advisories/385 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 1CVE-2017-16121
https://notcve.org/view.php?id=CVE-2017-16121
datachannel-client is a signaling implementation for DataChannel.js. datachannel-client is vulnerable to a directory traversal issue, giving an attacker access to the filesystem by placing "../" in the url. datachannel-client es una implementación de señalización para DataChannel.js. datachannel-client es vulnerable a un problema de salto de directorio que otorga a un atacante acceso al sistema de archivos colocando "../" en la URL. • https://github.com/JacksonGL/NPM-Vuln-PoC/tree/master/directory-traversal/datachannel-client https://nodesecurity.io/advisories/391 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 5.9EPSS: 0%CPEs: 1EXPL: 0CVE-2016-10535
https://notcve.org/view.php?id=CVE-2016-10535
csrf-lite is a cross-site request forgery protection library for framework-less node sites. csrf-lite uses `===`, a fail first string comparison, instead of a time constant string comparison This enables an attacker to guess the secret in no more than (16*18)288 guesses, instead of the 16^18 guesses required were the timing attack not present. csrf-lite es una biblioteca de protección contra Cross-Site Request Forgery (CSRF) para los sitios node sin framework. csrf-lite emplea "===", una comparación de cadena "fail first", en lugar de una comparación de cadena "time constant". Esto permite que un atacante adivine el secreto en un máximo de (16*18)288 intentos, en lugar de los 16^18 intentos necesarios si no existiese un ataque de sincronización. • https://github.com/isaacs/csrf-lite/pull/1 https://nodesecurity.io/advisories/94 • CWE-208: Observable Timing Discrepancy CWE-310: Cryptographic Issues •