CVE-2016-3956

Опубликовано: 02 июл. 2016

Источник: nvd

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Описание

The CLI in npm before 2.15.1 and 3.x before 3.8.3, as used in Node.js 0.10 before 0.10.44, 0.12 before 0.12.13, 4 before 4.4.2, and 5 before 5.10.0, includes bearer tokens with arbitrary requests, which allows remote HTTP servers to obtain sensitive information by reading Authorization headers.

Ссылки

http://blog.npmjs.org/post/142036323955/fixing-a-bearer-token-vulnerability
Vendor Advisory
http://www-01.ibm.com/support/docview.wss?uid=swg21980827
Vendor Advisory
https://github.com/npm/npm/commit/f67ecad59e99a03e5aad8e93cd1a086ae087cb29
Patch
Third Party Advisory
https://github.com/npm/npm/commit/fea8cc92cee02c720b58f95f14d315507ccad401
Patch
Third Party Advisory
https://github.com/npm/npm/issues/8380
Third Party Advisory
https://nodejs.org/en/blog/vulnerability/npm-tokens-leak-march-2016/
Vendor Advisory
http://blog.npmjs.org/post/142036323955/fixing-a-bearer-token-vulnerability
Vendor Advisory
http://www-01.ibm.com/support/docview.wss?uid=swg21980827
Vendor Advisory
https://github.com/npm/npm/commit/f67ecad59e99a03e5aad8e93cd1a086ae087cb29
Patch
Third Party Advisory
https://github.com/npm/npm/commit/fea8cc92cee02c720b58f95f14d315507ccad401
Patch
Third Party Advisory
https://github.com/npm/npm/issues/8380
Third Party Advisory
https://nodejs.org/en/blog/vulnerability/npm-tokens-leak-march-2016/
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:*

Версия до 1.1.0.20 (включая)

cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:*

Версия до 1.2.0.10 (включая)

cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:*

Версия до 4.4.1.0 (включая)

Конфигурация 2

Одно из

cpe:2.3:a:nodejs:node.js:0.10.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.2:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.3:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.4:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.5:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.6:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.7:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.8:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.9:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.10:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.11:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.12:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.13:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.14:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.15:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.16:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.16-isaacs-manual:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.17:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.18:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.19:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.20:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.21:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.22:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.23:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.24:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.25:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.26:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.27:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.28:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.29:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.30:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.31:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.32:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.33:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.34:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.35:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.36:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.37:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.38:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.39:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.40:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.10.41:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.2:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.3:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.4:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.5:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.6:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.7:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.8:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:0.12.9:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.0.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.1.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.1.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.1.2:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.2:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.3:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.4:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.5:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.2.6:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.3.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.3.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.3.1:rc.1:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.3.1:rc.2:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.3.2:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.0:rc.1:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.0:rc.2:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.0:rc.3:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.0:rc.4:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:4.4.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.0.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.1.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.1.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.2.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.3.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.4.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.4.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.5.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.6.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.7.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.7.1:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.8.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.8.1:rc.1:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.9.0:*:*:*:*:*:*:*

cpe:2.3:a:nodejs:node.js:5.9.1:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:a:npmjs:npm:*:*:*:*:*:*:*:*

Версия до 2.15.1 (исключая)

cpe:2.3:a:npmjs:npm:*:*:*:*:*:*:*:*

Версия от 3.0.0 (включая) до 3.8.3 (исключая)

EPSS

Процентиль: 93%

0.06748

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-200

Связанные уязвимости

CVE-2016-3956

CVSS3: 7.5

ubuntu

около 10 лет назад

CVE-2016-3956

redhat

больше 10 лет назад

CVE-2016-3956

CVSS3: 7.5

debian

около 10 лет назад

The CLI in npm before 2.15.1 and 3.x before 3.8.3, as used in Node.js ...

GHSA-m5h6-hr3q-22h5

github

почти 8 лет назад

npm Token Leak in npm

EPSS

Процентиль: 93%

0.06748

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Дефекты

CWE-200