Node.js — программная платформа, основанная на движке V8 (компилирующем JavaScript в машинный код)

A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.

Undici is an HTTP/1.1 client for Node.js. Starting with version 2.0.0 ...

Undici is an HTTP/1.1 client for Node.js. Starting with version 2.0.0 and prior to version 5.19.1, the undici library does not protect `host` HTTP header from CRLF injection vulnerabilities. This issue is patched in Undici v5.19.1. As a workaround, sanitize the `headers.host` string before passing to undici.

Уязвимость функции process.mainModule.require() программной платформы Node.js, позволяющая нарушителю повысить свои привилегии

Уязвимость программной платформы Node.js, связанная с ошибками шифрования данных, позволяющая нарушителю вызвать отказ в обслуживании

Уязвимость программной платформы Node.js, связанная с использованием ненадёжного пути поиска, позволяющая нарушителю повысить свои привилегии

CRLF Injection in Nodejs ‘undici’ via host

Уязвимость кроссплатформенной среды выполнения JavaScript Node.js, связанная с неправильной обработкой исключительных ситуаций, позволяющая нарушителю вызвать отказ в обслуживании

Уязвимость модуля worker_threads программной платформы Node.js, связанная с некорректной проверкой вводимых данных, позволяющая нарушителю вызвать отказ в обслуживании

Уязвимость метода undici.request клиента HTTP/1.1 Undici программной платформы Node.js, позволяющая нарушителю внедрить произвольные HTTP-заголовки