CVE-2020-15095
ŚrednieCVSS 4.4Streszczenie
Wersje npm CLI przed 6.14.6 są podatne na ujawnienie informacji poprzez pliki logów. CLI obsługuje adresy URL w formacie zawierającym dane uwierzytelniające, a wartość hasła nie jest maskowana i jest wypisywana na standardowe wyjście oraz do generowanych plików logów.
Ocena ryzyka
Hasła mogą wyciec do logów i konsoli, umożliwiając nieuprawnionym osobom przejęcie poświadczeń do repozytoriów lub rejestrów.
Rekomendacja
Zaktualizuj npm CLI do wersji 6.14.6 lub nowszej oraz przejrzyj i wyczyść istniejące pliki logów pod kątem ujawnionych poświadczeń.
Inne podatności w npm CLI
Zobacz wszystkie- CVE-2019-16777Wysokie
Narzędzie npm CLI w wersjach przed 6.13.4 jest podatne na Arbitrary File Overwrite. Nie zapobiega nadpisaniu istniejących globalnie zainstalowanych binariów przez inne instalacje pakietów, nawet przy użyciu opcji --ignore-scripts.
- CVE-2019-16776Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Poprzez pole bin w pliku package.json wydawca pakietu może uzyskać dostęp do folderów poza katalogiem node_modules i modyfikować dowolne pliki w systemie użytkownika podczas instalacji pakietu. Podatność omija opcję instalacji --ignore-scripts.
- CVE-2019-16775Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Pakiety mogą tworzyć dowiązania symboliczne do plików poza katalogiem node_modules poprzez pole bin w package.json podczas instalacji, omijając opcję --ignore-scripts.
- CVE-2016-3956Wysokie
Narzędzie CLI w npm przed 2.15.1 i 3.x przed 3.8.3, używane w Node.js 0.10 przed 0.10.44, 0.12 przed 0.12.13, 4 przed 4.4.2 i 5 przed 5.10.0, dołącza tokeny bearer do dowolnych żądań. Pozwala to zdalnym serwerom HTTP na uzyskanie poufnych informacji poprzez odczyt nagłówków Authorization.
- CVE-2026-0775Wysokie
Podatność w npm cli umożliwia lokalnemu atakującemu eskalację uprawnień poprzez nieprawidłowe przypisanie uprawnień do modułów. Aplikacja ładuje moduły z niezabezpieczonej lokalizacji, co pozwala na wykonanie kodu w kontekście docelowego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Versions of the npm CLI prior to 6.14.6 are vulnerable to an information exposure vulnerability through log files. The CLI supports URLs like "<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path>". The password value is not redacted and is printed to stdout and also to any generated log files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS