Node.js — программная платформа, основанная на движке V8 (компилирующем JavaScript в машинный код)

A command inject vulnerability allows an attacker to perform command injection on Windows applications that indirectly depend on the CreateProcess function when the specific conditions are satisfied.

A command inject vulnerability allows an attacker to perform command i ...

Уязвимость программной платформы Node.js, связанная с недостатками обработки HTTP-запросов, позволяющая нарушителю отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Уязвимость функции node::http2::Http2Session::~Http2Session() HTTP/2-сервера программной платформы Node.js, позволяющая нарушителю вызвать отказ в обслуживании

Уязвимость компонента Permission Model (модель разрешений) программной платформы Node.js, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Уязвимость модуля setuid() программной платформы Node.js, позволяющая нарушителю повысить свои привилегии

Уязвимость функции fetch() программной платформы Node.js, позволяющая нарушителю вызывать отказ в обслуживании (DoS)

Уязвимость функций child_process.spawn() и child_process.spawnSync() программной платформы Node.js операционных систем Windows, позволяющая нарушителю обойти ограничения безопасности и выполнить произвольные команды

Optional update for icu

The permission model protects itself against path traversal attacks by calling path.resolve() on any paths given by the user. If the path is to be treated as a Buffer, the implementation uses Buffer.from() to obtain a Buffer from the result of path.resolve(). By monkey-patching Buffer internals, namely, Buffer.prototype.utf8Write, the application can modify the result of path.resolve(), which leads to a path traversal vulnerability. This vulnerability affects all users using the experimental permission model in Node.js 20 and Node.js 21. Please note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.