Jordan Harband

**Nome do Software Vulnerável e Versões Afetadas** Node Version Manager (nvm) versões 0.32.1 through 0.40.5 **Description** Existe um problema onde o comando `nvm ls-remote` e outros comandos que atualizam aliases LTS remotos, como `nvm install --lts`, analisam o arquivo `index.tab` do espelho do node.js e utilizam o campo de codinome LTS como um nome de arquivo de alias sem validação. Um espelho comprometido ou um ataque de man-in-the-middle pode retornar um codinome LTS contendo sequências de path-traversal, como `../../../.bashrc`. Isso permite que o software escreva strings de versão em caminhos fora do diretório `$NVM DIR/alias`. Em configurações padrão onde `$NVM DIR` é `~/.nvm`, isso pode resultar na criação ou sobrescrita de arquivos no diretório home do usuário, incluindo arquivos de inicialização do shell, potencialmente levando à execução de código em sessões de shell subsequentes. A exploração requer o uso de um espelho hostil via CDN comprometido, man-in-the-middle de rede ou uma configuração maliciosa das variáveis `NVM NODEJS ORG MIRROR` ou `NVM IOJS ORG MIRROR`. **Recommendations** Atualizar para a versão 0.40.6.

**Nome do Software Vulnerável e Versões Afetadas** shell-quote versões anteriores a 1.8.4 **Descrição** A função `quote()` não valida as entradas de tokens de objeto em relação ao modelo de operador usado por `parse()`. Especificamente, o campo `.op` é escapado usando uma expressão regular que não corresponde a terminadores de linha, como ` `, `r`, `U+2028` e `U+2029`. Isso permite que terminadores de linha passem sem escape para a saída. Como os shells POSIX tratam novas linhas literais como separadores de comando, qualquer conteúdo após a nova linha é executado como um comando separado, resultando em injeção de comando. Este problema é acessível por meio da construção direta de `{ op: '... ...' }` a partir de entradas externas ou via `parse(cmd, envFn)` quando `envFn` retorna tokens de objeto cujo campo `.op` é influenciado por um invasor. **Recomendações** Atualize para a versão 1.8.4 ou posterior. Como medida paliativa temporária, restrinja a influência de entradas externas no campo `.op` em tokens de objeto passados para a função `quote()` ou retornados por `envFn` na função `parse()`.

Nome do Software Vulnerável e Versões Afetadas Lodash versões 4.0.0 a 4.17.22 Descrição As versões 4.0.0 a 4.17.22 do Lodash são vulneráveis à poluição de protótipo nas funções ` .unset` e ` .omit`. Um atacante pode explorar caminhos elaborados para disparar a exclusão de métodos dos protótipos globais. O problema permite a exclusão de propriedades, mas não permite a modificação do comportamento original dessas propriedades. Recomendações Atualize para a versão 4.17.23 do Lodash ou posterior.