Miguel Coimbra

**Name of the Vulnerable Software and Affected Versions** cross-zip (affected versions not specified) **Description** The `cross-zip` JavaScript package, used for zipping and unzipping files in Node.js environments, is susceptible to a directory traversal issue. This arises from improper handling of user-supplied arguments in the `zipSync()` and `unzipSync()` functions, allowing attackers to access arbitrary files on the host system. Exploitation involves manipulating archive contents or extraction paths, potentially leading to information disclosure or further compromise. The issue occurs through consecutive usage of the `zipSync()` and `unzipSync()` functions with arguments such as ` dirname`. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Todas as versões do node-gettext **Descrição** O problema está relacionado à contaminação de protótipos (Prototype Pollution) por meio da função `addTranslations()` no gettext.js, devido à sanitização inadequada das entradas do usuário. Isso afeta o pacote `node-gettext`. **Recomendações** Para todas as versões, considere desativar a função `addTranslations()` até que um patch esteja disponível para evitar a exploração. Restrinja o acesso ao módulo `gettext.js` para minimizar o risco de exploração. Evite usar entradas de usuário não sanitizadas na função `addTranslations()` até que o problema seja resolvido.