CVE-2016-3956
WysokieCVSS 7.5Streszczenie
Narzędzie CLI w npm przed 2.15.1 i 3.x przed 3.8.3, używane w Node.js 0.10 przed 0.10.44, 0.12 przed 0.12.13, 4 przed 4.4.2 i 5 przed 5.10.0, dołącza tokeny bearer do dowolnych żądań. Pozwala to zdalnym serwerom HTTP na uzyskanie poufnych informacji poprzez odczyt nagłówków Authorization.
Ocena ryzyka
Może to prowadzić do wycieku tokenów uwierzytelniających i przejęcia konta. Ryzyko dotyczy użytkowników npm w podanych wersjach.
Rekomendacja
Zaktualizuj npm do wersji 2.15.1, 3.8.3 lub nowszej oraz Node.js do zalecanych wersji. Unikaj używania podatnych wersji.
Inne podatności w npm CLI
Zobacz wszystkie- CVE-2020-15095Średnie
Wersje npm CLI przed 6.14.6 są podatne na ujawnienie informacji poprzez pliki logów. CLI obsługuje adresy URL w formacie zawierającym dane uwierzytelniające, a wartość hasła nie jest maskowana i jest wypisywana na standardowe wyjście oraz do generowanych plików logów.
- CVE-2019-16777Wysokie
Narzędzie npm CLI w wersjach przed 6.13.4 jest podatne na Arbitrary File Overwrite. Nie zapobiega nadpisaniu istniejących globalnie zainstalowanych binariów przez inne instalacje pakietów, nawet przy użyciu opcji --ignore-scripts.
- CVE-2019-16776Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Poprzez pole bin w pliku package.json wydawca pakietu może uzyskać dostęp do folderów poza katalogiem node_modules i modyfikować dowolne pliki w systemie użytkownika podczas instalacji pakietu. Podatność omija opcję instalacji --ignore-scripts.
- CVE-2019-16775Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Pakiety mogą tworzyć dowiązania symboliczne do plików poza katalogiem node_modules poprzez pole bin w package.json podczas instalacji, omijając opcję --ignore-scripts.
- CVE-2026-0775Wysokie
Podatność w npm cli umożliwia lokalnemu atakującemu eskalację uprawnień poprzez nieprawidłowe przypisanie uprawnień do modułów. Aplikacja ładuje moduły z niezabezpieczonej lokalizacji, co pozwala na wykonanie kodu w kontekście docelowego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The CLI in npm before 2.15.1 and 3.x before 3.8.3, as used in Node.js 0.10 before 0.10.44, 0.12 before 0.12.13, 4 before 4.4.2, and 5 before 5.10.0, includes bearer tokens with arbitrary requests, which allows remote HTTP servers to obtain sensitive information by reading Authorization headers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS