PT-2020-21376 · Npm · Npm-Registry-Fetch

Publicado 2020-07-07 · Atualizado 2020-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

npm-registry-fetch (versões afetadas não especificadas)

Descrição

A vulnerabilidade diz respeito à exposição de informações por meio de arquivos de log. O comando npm-registry-fetch suporta URLs com um formato específico, incluindo protocolo, usuário, senha, nome do host, porta e caminho. No entanto, o valor da senha não é ocultado adequadamente e é exibido tanto na saída padrão (stdout) quanto em quaisquer arquivos de log gerados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

GHSA-JMQM-F2GX-4FJV

Produtos afetados

Npm-Registry-Fetch

Referências · 6

• https://github.com/npm/npm-registry-fetch · Nota
• https://github.com/npm/npm-registry-fetch/security/advisories/GHSA-jmqm-f2gx-4fjv · Nota
• https://github.com/npm/npm-registry-fetch/pull/29 · Nota
• https://github.com/npm/npm-registry-fetch/commit/18bf9b97fb1deecdba01ffb05580370846255c88 · Nota
• https://snyk.io/vuln/SNYK-JS-NPMREGISTRYFETCH-575432 · Nota
• https://osv.dev/vulnerability/GHSA-jmqm-f2gx-4fjv · Aviso do Fabricante