遠端 Debian 10 主機上安裝的一個套件受到 dla-3336 公告中提及的多個弱點影響。

  - 1.5.0 之前版本的 url-parse 未正確處理反斜線的特定使用 (例如 http: \/) 並將 URI 解譯為相對路徑。(CVE-2021-27515)

  - url-parse 容易受到將 URL 重新導向至非信任網站的攻擊 (CVE-2021-3664)

  - 在 1.5.6 之前版本的 NPM url-parse 中，透過使用者控制的金鑰可以繞過授權。(CVE-2022-0512)

  - 在 1.5.7 之前版本的 NPM url-parse 中，透過使用者控制的金鑰可以繞過授權。(CVE-2022-0639)

  - 在 1.5.8 之前版本的 NPM url-parse 中，透過使用者控制的金鑰可以繞過授權。(CVE-2022-0686)

  - 在 1.5.9 之前版本的 NPM url-parse 中，透過使用者控制的金鑰可以繞過授權。(CVE-2022-0691)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3336-1：node-url-parse - LTS 安全性更新

critical Nessus Plugin ID 171837

版本 1.0