هل vercel/next.js بخير؟
نوعًا ما.
ثغرة حرجة فيما ينشره.
داخلي: 991 ثغرات في الاختبارات والأدوات، لا يصل أي منها إلى مستخدميك.تم الفحص 17:03 UTCcommit cbf49dbالتنبيهات حتى 09:13 UTC
23 أشياء يجب تحديثها
- حدّث next إلى 16.4.1قد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
next 16.4.0-canary.313 ثغراتتم الإصلاح في 16.4.1
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
immutable 4.1.03 ثغراتتم الإصلاح في 4.3.9
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-wf6x-7x77-mvgwImmutable is vulnerable to Prototype Pollution
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
عرض 1 أخرى
source-map-js 1.0.21 ثغرةتم الإصلاح في 1.2.2
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- حدّث rspack_binding_builderقد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
wasmtime 35.0.022 ثغراتتم الإصلاح في 36.0.19
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xx5w-cvp6-jv83Wasmtime with Winch compiler backend on aarch64 may allow a sandbox-escaping memory access
- GHSA-897f-g5gm-fmxmWasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation
- GHSA-jhxm-h53p-jm7wWasmtime: Miscompiled guest heap access enables sandbox escape on aarch64 Cranelift
- RUSTSEC-2026-0269Filesystem sandbox escape when paths or symlinks contain trailing slashes
- RUSTSEC-2026-0379Cranelift backend on aarch64 can jump to incorrect target on large Wasm `br_table` instruction
- GHSA-m9w2-8782-2946Wasmtime has host data leakage with 64-bit tables and Winch
- GHSA-243v-98vx-264hWasmtime can panic when adding excessive fields to a `wasi:http/types.fields` instance
- GHSA-394w-hwhg-8vgmWasmtime has out-of-bounds write or crash when transcoding component model strings
- GHSA-852m-cvvp-9p4wWasmtime WASI implementations are vulnerable to guest-controlled resource exhaustion
- GHSA-f984-pcp8-v2p7Wasmtime has improperly masked return value from `table.grow` with Winch compiler backend
- GHSA-hx6p-xpx3-jvvvWasmtime: Heap OOB read in component model UTF-16 to latin1+utf16 string transcoding
- GHSA-jxhv-7h78-9775Wasmtime: Panic when transcoding misaligned utf-16 strings
- GHSA-m758-wjhj-p3jqWasmtime has a possible panic when lifting `flags` component value
- GHSA-p8xm-42r7-89xgwasmtime has a panic when allocating a table exceeding the size of the host's address space
- GHSA-q49f-xg75-m9xwWasmtime has host panic when Winch compiler executes `table.fill`
- GHSA-qqfj-4vcm-26hvWasmtime segfault or unused out-of-sandbox load with `f64x2.splat` operator on x86-64
- GHSA-vc8c-j3xm-xj73Wasmtime segfault or unused out-of-sandbox load with f64.copysign operator on x86-64
- RUSTSEC-2026-0363Component-model handle tables are capped only per instance and charged to no limit
- GHSA-6wgr-89rj-399pWasmtime has data leakage between pooling allocator instances
- GHSA-hc7m-r6v8-hg9qWasmtime provides unsound API access to a WebAssembly shared linear memory
- RUSTSEC-2026-0222Stores can mix up type indices between engines
- RUSTSEC-2026-0316Dynamic record lifting can allocate beyond the hostcall fuel limit
- حدّث @datadog/datadog-api-clientقد يغيّر أحدهم بيانات أو ملفات.
form-data 4.0.02 ثغراتتم الإصلاح في 4.0.6
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
- حدّث @mdx-js/loaderقد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
serialize-javascript 6.0.23 ثغراتتم الإصلاح في 7.1.3
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
fast-uri 3.0.212 ثغراتتم الإصلاح في 3.1.9
قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
- حدّث jscodeshiftقد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
@babel/plugin-transform-modules-systemjs 7.25.91 ثغرةتم الإصلاح في 7.29.4
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-fv7c-fp4j-7gwp@babel/plugin-transform-modules-systemjs generates arbitrary code when compiling malicious input
- حدّث reqwestقد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
openssl 0.10.3813 ثغراتتم الإصلاح في 0.10.79
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-6hcf-g6gr-hhcr`openssl` `X509Extension::new` and `X509Extension::new_nid` null pointer dereference
- GHSA-9qwg-crg9-m2vc`openssl` `SubjectAlternativeName` and `ExtendedKeyUsage::other` allow arbitrary file read
- GHSA-q445-7m23-qrmwopenssl's `MemBio::get_buf` has undefined behavior with empty buffers
- GHSA-rpmj-rpgj-qmpmrust-openssl ssl::select_next_proto use after free
- GHSA-xcf7-rvmh-g6q4`openssl` `X509VerifyParamRef::set_host` buffer over-read
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-3gxf-9r58-2ghg`openssl` `X509NameBuilder::build` returned object is not thread safe
- GHSA-xphf-cx8h-7q9g`openssl` `X509StoreRef::objects` is unsound
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
openssl 0.10.758 ثغراتتم الإصلاح في 0.10.80
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-ghm9-cr32-g9qjrust-openssl: rustMdCtxRef::digest_final() writes past caller buffer with no length check
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-phqj-4mhp-q6mqrust-openssl: Potential out-of-bounds write in `CipherCtxRef::cipher_update_inplace` for AES-KW-PAD ciphers
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
عرض 5 أخرى
tokio 1.13.05 ثغراتتم الإصلاح في 1.51.6
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-fg7r-2g4j-5cgrRace Condition in tokio
- GHSA-7rrj-xr53-82p7Tokio reject_remote_clients configuration may get dropped when creating a Windows named pipe
- GHSA-rr8g-9fpq-6wmgTokio broadcast channel calls clone in parallel, but does not require `Sync`
- GHSA-4q83-7cq4-p6wg`tokio::io::ReadHalf<T>::unsplit` is Unsound
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
aws-lc-sys 0.30.04 ثغراتتم الإصلاح في 0.39.0
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-65p9-r9h6-22vjAWS-LC has Timing Side-Channel in AES-CCM Tag Verification
- GHSA-9f94-5g5w-gf6rCRL Distribution Point Scope Check Logic Error in AWS-LC
- GHSA-hfpc-8r3f-gw53AWS-LC has PKCS7_verify Signature Validation Bypass
- GHSA-vw5v-4f2q-w9xfAWS-LC has PKCS7_verify Certificate Chain Validation Bypass
mio 0.7.141 ثغرةتم الإصلاح في 0.8.11
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-r8w9-5wcg-vfj7Mio's tokens for named pipes may be delivered after deregistration
rustls-webpki 0.103.45 ثغراتتم الإصلاح في 0.103.16
قد يغيّر أحدهم بيانات أو ملفات. بحساب فقط.
- GHSA-pwjx-qhcg-rvj4webpki: CRLs not considered authoritative by Distribution Point due to faulty matching logic
- GHSA-82j2-j2ch-gfr8rustls-webpki: Denial of service via panic on malformed CRL BIT STRING
- GHSA-965h-392x-2mh5webpki: Name constraints for URI names were incorrectly accepted
- GHSA-xgp8-3hg3-c2mhwebpki: Name constraints were accepted for certificates asserting a wildcard name
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
quinn-proto 0.11.136 ثغراتتم الإصلاح في 0.11.18
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4w2j-m93h-cj5jQuinn: Remote memory exhaustion in quinn-proto from unbounded out-of-order stream reassembly
- GHSA-6xvm-j4wr-6v98Quinn affected by unauthenticated remote DoS via panic in QUIC transport parameter parsing
- RUSTSEC-2026-0340Peer minimum ACK delay can panic quinn-proto when ACK_FREQUENCY transmission is enabled
- RUSTSEC-2026-0338Remote peer can panic quinn-proto with zero-length STREAM frames during unordered reads
- RUSTSEC-2026-0339Unbounded growth of pending connection ID retirements in quinn-proto
- RUSTSEC-2026-0342Zero-length DATAGRAM frames bypass the receive buffer limit in quinn-proto
- حدّث sharp إلى 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
sharp 0.35.41 ثغرةتم الإصلاح في 0.35.5
قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- حدّث inquirerقد يقرأ أحدهم بيانات لا ينبغي أن يراها.
tmp 0.0.332 ثغراتتم الإصلاح في 0.2.6
قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-ph9p-34f9-6g65tmp has Path Traversal via unsanitized prefix/postfix that enables directory escape
- GHSA-52f5-9888-hmc6tmp allows arbitrary temporary file / directory write via symbolic link `dir` parameter
- حدّث @eslint-community/eslint-utilsقد يغيّر أحدهم بيانات أو ملفات.
flatted 3.3.12 ثغراتتم الإصلاح في 3.4.2
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-rf6f-7fwh-wjghPrototype Pollution via parse() in NodeJS flatted
- GHSA-25h7-pfq9-p65fflatted vulnerable to unbounded recursion DoS in parse() revive phase
minimatch 3.1.23 ثغراتتم الإصلاح في 3.1.4
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
عرض 1 أخرى
brace-expansion 1.1.118 ثغراتتم الإصلاح في 1.1.21
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
- حدّث browserslist إلى 4.28.7قد يغيّر أحدهم بيانات أو ملفات.
browserslist 4.28.12 ثغراتتم الإصلاح في 4.28.7
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
- حدّث @actions/coreقد يجعله أحدهم يتعطل أو يتجمد.
undici 5.28.415 ثغراتتم الإصلاح في 6.28.1
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
@fastify/busboy 2.1.12 ثغراتتم الإصلاح في 3.2.2
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
- حدّث autoprefixerقد يجعله أحدهم يتعطل أو يتجمد.
nanoid 3.3.161 ثغرةتم الإصلاح في 3.3.18
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
source-map-js 1.2.11 ثغرةتم الإصلاح في 1.2.2
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- حدّث cheerioقد يجعله أحدهم يتعطل أو يتجمد.
css-what 5.0.01 ثغرةتم الإصلاح في 5.0.1
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-q8pj-2vqx-8ggcDenial of service in css-what
nth-check 2.0.01 ثغرةتم الإصلاح في 2.0.1
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
- حدّث cross-spawn إلى 7.0.5قد يجعله أحدهم يتعطل أو يتجمد.
cross-spawn 7.0.31 ثغرةتم الإصلاح في 7.0.5
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
- حدّث eslint-import-resolver-typescriptقد يجعله أحدهم يتعطل أو يتجمد.
picomatch 4.0.32 ثغراتتم الإصلاح في 4.0.4
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
minimatch 9.0.53 ثغراتتم الإصلاح في 9.0.7
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
عرض 2 أخرى
brace-expansion 2.0.18 ثغراتتم الإصلاح في 2.1.7
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 5.0.48 ثغراتتم الإصلاح في 5.0.12
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-jxxr-4gwj-5jf2brace-expansion: Large numeric range defeats documented `max` DoS protection
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- حدّث fast-globقد يجعله أحدهم يتعطل أو يتجمد.
picomatch 2.3.12 ثغراتتم الإصلاح في 2.3.2
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
- حدّث gray-matterقد يجعله أحدهم يتعطل أو يتجمد.
js-yaml 3.14.15 ثغراتتم الإصلاح في 3.15.2
قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
- حدّث hyper-tungsteniteقد يجعله أحدهم يتعطل أو يتجمد.
tungstenite 0.18.01 ثغرةتم الإصلاح في 0.20.1
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-9mcr-873m-xcxpTungstenite allows remote attackers to cause a denial of service
- حدّث js-yaml إلى 4.3.2قد يجعله أحدهم يتعطل أو يتجمد.
js-yaml 4.2.03 ثغراتتم الإصلاح في 4.3.2
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- حدّث minimatch إلى 3.1.4قد يجعله أحدهم يتعطل أو يتجمد.
minimatch 3.0.44 ثغراتتم الإصلاح في 3.1.4
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
- GHSA-f8q6-p94x-37v3minimatch ReDoS vulnerability
brace-expansion 2.1.06 ثغراتتم الإصلاح في 2.1.7
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- حدّث remark-parseقد يجعله أحدهم يتعطل أو يتجمد.
trim 0.0.11 ثغرةتم الإصلاح في 0.0.3
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5p7-h5w8-2hfqRegular Expression Denial of Service in trim
- حدّث webpack-bundle-analyzerقد يجعله أحدهم يتعطل أو يتجمد.
ws 7.5.32 ثغراتتم الإصلاح في 7.5.11
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
- حدّث zod إلى 4.6.6قد يجعله أحدهم يتعطل أو يتجمد.
zod 3.25.761 ثغرةتم الإصلاح في 4.6.6
قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
يمس مستخدميك
238 ثغرات فيما ينشره المشروع، الأخطر أولًا.
قد يكشف بيانات مستخدميك أو يتيح لأحدهم السيطرة
next 16.4.0-canary.313 ثغراتتم الإصلاح في 16.4.1قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
wasmtime 35.0.022 ثغراتتم الإصلاح في 36.0.19قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xx5w-cvp6-jv83Wasmtime with Winch compiler backend on aarch64 may allow a sandbox-escaping memory access
- GHSA-897f-g5gm-fmxmWasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation
- GHSA-jhxm-h53p-jm7wWasmtime: Miscompiled guest heap access enables sandbox escape on aarch64 Cranelift
- RUSTSEC-2026-0269Filesystem sandbox escape when paths or symlinks contain trailing slashes
- RUSTSEC-2026-0379Cranelift backend on aarch64 can jump to incorrect target on large Wasm `br_table` instruction
- GHSA-m9w2-8782-2946Wasmtime has host data leakage with 64-bit tables and Winch
- GHSA-243v-98vx-264hWasmtime can panic when adding excessive fields to a `wasi:http/types.fields` instance
- GHSA-394w-hwhg-8vgmWasmtime has out-of-bounds write or crash when transcoding component model strings
- GHSA-852m-cvvp-9p4wWasmtime WASI implementations are vulnerable to guest-controlled resource exhaustion
- GHSA-f984-pcp8-v2p7Wasmtime has improperly masked return value from `table.grow` with Winch compiler backend
- GHSA-hx6p-xpx3-jvvvWasmtime: Heap OOB read in component model UTF-16 to latin1+utf16 string transcoding
- GHSA-jxhv-7h78-9775Wasmtime: Panic when transcoding misaligned utf-16 strings
- GHSA-m758-wjhj-p3jqWasmtime has a possible panic when lifting `flags` component value
- GHSA-p8xm-42r7-89xgwasmtime has a panic when allocating a table exceeding the size of the host's address space
- GHSA-q49f-xg75-m9xwWasmtime has host panic when Winch compiler executes `table.fill`
- GHSA-qqfj-4vcm-26hvWasmtime segfault or unused out-of-sandbox load with `f64x2.splat` operator on x86-64
- GHSA-vc8c-j3xm-xj73Wasmtime segfault or unused out-of-sandbox load with f64.copysign operator on x86-64
- RUSTSEC-2026-0363Component-model handle tables are capped only per instance and charged to no limit
- GHSA-6wgr-89rj-399pWasmtime has data leakage between pooling allocator instances
- GHSA-hc7m-r6v8-hg9qWasmtime provides unsound API access to a WebAssembly shared linear memory
- RUSTSEC-2026-0222Stores can mix up type indices between engines
- RUSTSEC-2026-0316Dynamic record lifting can allocate beyond the hostcall fuel limit
form-data 4.0.02 ثغراتتم الإصلاح في 4.0.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
serialize-javascript 6.0.23 ثغراتتم الإصلاح في 7.1.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
openssl 0.10.3813 ثغراتتم الإصلاح في 0.10.79قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-6hcf-g6gr-hhcr`openssl` `X509Extension::new` and `X509Extension::new_nid` null pointer dereference
- GHSA-9qwg-crg9-m2vc`openssl` `SubjectAlternativeName` and `ExtendedKeyUsage::other` allow arbitrary file read
- GHSA-q445-7m23-qrmwopenssl's `MemBio::get_buf` has undefined behavior with empty buffers
- GHSA-rpmj-rpgj-qmpmrust-openssl ssl::select_next_proto use after free
- GHSA-xcf7-rvmh-g6q4`openssl` `X509VerifyParamRef::set_host` buffer over-read
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-3gxf-9r58-2ghg`openssl` `X509NameBuilder::build` returned object is not thread safe
- GHSA-xphf-cx8h-7q9g`openssl` `X509StoreRef::objects` is unsound
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
openssl 0.10.758 ثغراتتم الإصلاح في 0.10.80قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-ghm9-cr32-g9qjrust-openssl: rustMdCtxRef::digest_final() writes past caller buffer with no length check
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-phqj-4mhp-q6mqrust-openssl: Potential out-of-bounds write in `CipherCtxRef::cipher_update_inplace` for AES-KW-PAD ciphers
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
tokio 1.13.05 ثغراتتم الإصلاح في 1.51.6قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-fg7r-2g4j-5cgrRace Condition in tokio
- GHSA-7rrj-xr53-82p7Tokio reject_remote_clients configuration may get dropped when creating a Windows named pipe
- GHSA-rr8g-9fpq-6wmgTokio broadcast channel calls clone in parallel, but does not require `Sync`
- GHSA-4q83-7cq4-p6wg`tokio::io::ReadHalf<T>::unsplit` is Unsound
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
@babel/plugin-transform-modules-systemjs 7.25.91 ثغرةتم الإصلاح في 7.29.4قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-fv7c-fp4j-7gwp@babel/plugin-transform-modules-systemjs generates arbitrary code when compiling malicious input
sharp 0.35.41 ثغرةتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
rkyv 0.8.163 ثغراتتم الإصلاح في 0.8.17قد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
- RUSTSEC-2026-0233Crafted archives can cause a use-after-free during deserialization
- RUSTSEC-2026-0234Insufficient archive validation can cause out-of-bounds reads in archives containing hash tables
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
fast-uri 3.0.212 ثغراتتم الإصلاح في 3.1.9قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
tmp 0.0.332 ثغراتتم الإصلاح في 0.2.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-ph9p-34f9-6g65tmp has Path Traversal via unsanitized prefix/postfix that enables directory escape
- GHSA-52f5-9888-hmc6tmp allows arbitrary temporary file / directory write via symbolic link `dir` parameter
@humanfs/node 0.16.71 ثغرةتم الإصلاح في 0.16.8قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-p498-v437-472ghumanfs: Recursive copy follows symlinked files and copies data from outside the source tree
webpack 5.98.02 ثغراتتم الإصلاح في 5.104.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-38r7-794h-5758webpack buildHttp HttpUriPlugin allowedUris bypass via HTTP redirects → SSRF + cache persistence
- GHSA-8fgc-7cc6-rx7xwebpack buildHttp: allowedUris allow-list bypass via URL userinfo (@) leading to build-time SSRF behavior
@babel/core 7.26.101 ثغرةتم الإصلاح في 7.29.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-4x5r-pxfx-6jf8@babel/core: Arbitrary File Read via sourceMappingURL Comment
rustls 0.23.314 ثغراتتم الإصلاح في 0.23.46قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- RUSTSEC-2026-0346`Debug` impls for client session values expose TLS secrets
- GHSA-2mjx-qc3c-rqvcRustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
- RUSTSEC-2026-0348Brotli certificate decompression can allocate up to 1 GiB before authentication
- RUSTSEC-2026-0349Unauthenticated ServerHello can downgrade later connections to classical key exchange
aws-lc-sys 0.30.04 ثغراتتم الإصلاح في 0.39.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-65p9-r9h6-22vjAWS-LC has Timing Side-Channel in AES-CCM Tag Verification
- GHSA-9f94-5g5w-gf6rCRL Distribution Point Scope Check Logic Error in AWS-LC
- GHSA-hfpc-8r3f-gw53AWS-LC has PKCS7_verify Signature Validation Bypass
- GHSA-vw5v-4f2q-w9xfAWS-LC has PKCS7_verify Certificate Chain Validation Bypass
browserslist 4.28.12 ثغراتتم الإصلاح في 4.28.7قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
mio 0.7.141 ثغرةتم الإصلاح في 0.8.11قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-r8w9-5wcg-vfj7Mio's tokens for named pipes may be delivered after deregistration
flatted 3.3.12 ثغراتتم الإصلاح في 3.4.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-rf6f-7fwh-wjghPrototype Pollution via parse() in NodeJS flatted
- GHSA-25h7-pfq9-p65fflatted vulnerable to unbounded recursion DoS in parse() revive phase
immutable 4.1.03 ثغراتتم الإصلاح في 4.3.9قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-wf6x-7x77-mvgwImmutable is vulnerable to Prototype Pollution
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
picomatch 2.3.12 ثغراتتم الإصلاح في 2.3.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
picomatch 4.0.32 ثغراتتم الإصلاح في 4.0.4قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
js-yaml 3.14.15 ثغراتتم الإصلاح في 3.15.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
undici 5.28.415 ثغراتتم الإصلاح في 6.28.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
rustls-webpki 0.103.45 ثغراتتم الإصلاح في 0.103.16قد يغيّر أحدهم بيانات أو ملفات. بحساب فقط.
- GHSA-pwjx-qhcg-rvj4webpki: CRLs not considered authoritative by Distribution Point due to faulty matching logic
- GHSA-82j2-j2ch-gfr8rustls-webpki: Denial of service via panic on malformed CRL BIT STRING
- GHSA-965h-392x-2mh5webpki: Name constraints for URI names were incorrectly accepted
- GHSA-xgp8-3hg3-c2mhwebpki: Name constraints were accepted for certificates asserting a wildcard name
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
swc_html_minifier 53.0.01 ثغرةتم الإصلاح في 59.0.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-5qr2-v392-m9g8SWC HTML minifier may allow script element breakout when minifying embedded JSON
قد يعطّل خدمتك أو يبطئها
minimatch 3.0.44 ثغراتتم الإصلاح في 3.1.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
- GHSA-f8q6-p94x-37v3minimatch ReDoS vulnerability
minimatch 3.1.23 ثغراتتم الإصلاح في 3.1.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
minimatch 9.0.53 ثغراتتم الإصلاح في 9.0.7قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
js-yaml 4.2.03 ثغراتتم الإصلاح في 4.3.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
nanoid 3.3.161 ثغرةتم الإصلاح في 3.3.18قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
ws 7.5.32 ثغراتتم الإصلاح في 7.5.11قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
brace-expansion 1.1.118 ثغراتتم الإصلاح في 1.1.21قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 2.0.18 ثغراتتم الإصلاح في 2.1.7قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 5.0.48 ثغراتتم الإصلاح في 5.0.12قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-jxxr-4gwj-5jf2brace-expansion: Large numeric range defeats documented `max` DoS protection
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
brace-expansion 2.1.06 ثغراتتم الإصلاح في 2.1.7قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
cross-spawn 7.0.31 ثغرةتم الإصلاح في 7.0.5قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
quinn-proto 0.11.136 ثغراتتم الإصلاح في 0.11.18قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4w2j-m93h-cj5jQuinn: Remote memory exhaustion in quinn-proto from unbounded out-of-order stream reassembly
- GHSA-6xvm-j4wr-6v98Quinn affected by unauthenticated remote DoS via panic in QUIC transport parameter parsing
- RUSTSEC-2026-0340Peer minimum ACK delay can panic quinn-proto when ACK_FREQUENCY transmission is enabled
- RUSTSEC-2026-0338Remote peer can panic quinn-proto with zero-length STREAM frames during unordered reads
- RUSTSEC-2026-0339Unbounded growth of pending connection ID retirements in quinn-proto
- RUSTSEC-2026-0342Zero-length DATAGRAM frames bypass the receive buffer limit in quinn-proto
source-map-js 1.0.21 ثغرةتم الإصلاح في 1.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
source-map-js 1.2.11 ثغرةتم الإصلاح في 1.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
tungstenite 0.18.01 ثغرةتم الإصلاح في 0.20.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-9mcr-873m-xcxpTungstenite allows remote attackers to cause a denial of service
zod 3.25.761 ثغرةتم الإصلاح في 4.6.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
css-what 5.0.01 ثغرةتم الإصلاح في 5.0.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-q8pj-2vqx-8ggcDenial of service in css-what
nth-check 2.0.01 ثغرةتم الإصلاح في 2.0.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
trim 0.0.11 ثغرةتم الإصلاح في 0.0.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5p7-h5w8-2hfqRegular Expression Denial of Service in trim
@fastify/busboy 2.1.12 ثغراتتم الإصلاح في 3.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
ajv 6.12.61 ثغرةتم الإصلاح في 6.14.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
ajv 8.17.11 ثغرةتم الإصلاح في 8.18.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
@octokit/plugin-paginate-rest 2.21.31 ثغرةتم الإصلاح في 9.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/plugin-paginate-rest 9.1.51 ثغرةتم الإصلاح في 9.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
h2 0.3.74 ثغراتتم الإصلاح في 0.4.16قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-q6cp-qfwq-4gcvh2 servers vulnerable to degradation of service with CONTINUATION Flood
- GHSA-8r5v-vm4m-4g25Resource exhaustion vulnerability in h2 may lead to Denial of Service (DoS)
- GHSA-f8vr-r385-rh5rh2 vulnerable to denial of service
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
h2 0.3.242 ثغراتتم الإصلاح في 0.4.16قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-q6cp-qfwq-4gcvh2 servers vulnerable to degradation of service with CONTINUATION Flood
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
@octokit/request 5.6.31 ثغرةتم الإصلاح في 8.4.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/request 8.1.61 ثغرةتم الإصلاح في 8.4.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
baseline-browser-mapping 2.9.191 ثغرةتم الإصلاح في 2.11.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
@octokit/request-error 2.1.01 ثغرةتم الإصلاح في 5.1.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/request-error 5.0.11 ثغرةتم الإصلاح في 5.1.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
yaml 1.10.21 ثغرةتم الإصلاح في 1.10.3قد يجعله أحدهم يتعطل أو يتجمد. بحساب فقط.
- GHSA-48c2-rrv3-qjmpyaml is vulnerable to Stack Overflow via deeply nested YAML collections
diff 5.1.01 ثغرةتم الإصلاح في 5.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-73rr-hh4g-fpgxjsdiff has a Denial of Service vulnerability in parsePatch and applyPatch
debug 4.1.11 ثغرةتم الإصلاح في 4.3.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-gxpj-cx7g-858cRegular Expression Denial of Service in debug
idna 0.2.31 ثغرةتم الإصلاح في 1.0.0ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-h97m-ww89-6jmq`idna` accepts Punycode labels that do not produce any non-ASCII when decoded
uuid 8.3.21 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
serde_with 3.18.01 ثغرةتم الإصلاح في 3.21.0ثغرة لم يُوضَّح أثرها. بالوصول إلى الجهاز فقط.
- GHSA-7gcf-g7xr-8hxjserde_with: KeyValueMap serialization panics on empty sequence or map entries
xxhash-rust 0.8.151 ثغرةتم الإصلاح في 0.8.16ثغرة لم يُوضَّح أثرها. بالوصول إلى الجهاز فقط.
- GHSA-6g2r-675j-hx59xxhash-rust: Safe xxh3 custom-secret API accepts too-short secret in release
lexical-core 0.8.51 ثغرةتم الإصلاح في 1.0.0ثغرة لم يُوضَّح أثرها.
- GHSA-2326-pfpj-vx3hlexical-core has multiple soundness issues
lexical 6.1.11 ثغرةتم الإصلاح في 7.0.0ثغرة لم يُوضَّح أثرها.
- GHSA-c2hm-mjxv-89r4Multiple soundness issues in lexical
rand 0.8.41 ثغرةتم الإصلاح في 0.8.6ثغرة لم يُوضَّح أثرها.
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
rand 0.8.51 ثغرةتم الإصلاح في 0.8.6ثغرة لم يُوضَّح أثرها.
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
rand 0.9.01 ثغرةتم الإصلاح في 0.9.3ثغرة لم يُوضَّح أثرها.
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
remove_dir_all 0.5.31 ثغرةتم الإصلاح في 0.8.0ثغرة لم يُوضَّح أثرها.
- GHSA-mc8h-8q98-g5hrRace Condition Enabling Link Following and Time-of-check Time-of-use (TOCTOU) Race Condition in remove_dir_all
difference 2.0.01 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2020-0095difference is unmaintained
ansi_term 0.12.11 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2021-0139ansi_term is Unmaintained
json 0.12.41 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2022-0081json is unmaintained
atomic-polyfill 0.1.111 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2023-0089atomic-polyfill is unmaintained
proc-macro-error 1.0.41 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2024-0370proc-macro-error is unmaintained
paste 1.0.151 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2024-0436paste - no longer maintained
adler 1.0.21 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2025-0056adler crate is unmaintained, use adler2 instead
rkyv 0.7.452 ثغراتتم الإصلاح في 0.8.17ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0001Potential Undefined Behaviors in `Arc<T>`/`Rc<T>` impls of `from_value` on OOM
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
memmap2 0.9.51 ثغرةتم الإصلاح في 0.9.11ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0186Unchecked pointer offset in crate `memmap2`
anyhow 1.0.1001 ثغرةتم الإصلاح في 1.0.103ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0190Unsoundness in `Error::downcast_mut()`
anyhow 1.0.1021 ثغرةتم الإصلاح في 1.0.103ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0190Unsoundness in `Error::downcast_mut()`
crossbeam-epoch 0.9.151 ثغرةتم الإصلاح في 0.9.20ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0204Invalid pointer dereference in `fmt::Pointer` impl for `Atomic` and `Shared` when the underlying pointer is invalid
crossbeam-epoch 0.9.181 ثغرةتم الإصلاح في 0.9.20ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0204Invalid pointer dereference in `fmt::Pointer` impl for `Atomic` and `Shared` when the underlying pointer is invalid
event-listener 5.4.01 ثغرةتم الإصلاح في 5.4.2ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0221`event-listener` allows `!Send` tags to cross thread boundaries via `StackSlot`
rkyv 0.7.461 ثغرةتم الإصلاح في 0.8.17ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
smartstring 1.0.11 ثغرةثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0249smartstring is unmaintained
lru 0.16.41 ثغرةتم الإصلاح في 0.18.2ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0253Potential use-after-free due to lack of panic safety in `LruCache::pop()`
webbrowser 1.0.61 ثغرةتم الإصلاح في 1.2.2ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0257Unix `BROWSER` handling allows browser argument injection
h2 0.4.71 ثغرةتم الإصلاح في 0.4.16ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
webpki-root-certs 1.0.51 ثغرةتم الإصلاح في 1.0.10ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0383Bundled root certificates allow trust in distrusted emSign intermediates
tokio 1.52.11 ثغرةتم الإصلاح في 1.53.3ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
tokio 1.52.31 ثغرةتم الإصلاح في 1.53.3ثغرة لم يُوضَّح أثرها.
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
داخلي فقط
أدوات التطوير والاختبارات والأمثلة والوثائق ومقاييس الأداء: لا تصل إلى مستخدميك، لذا لا تُحتسب أبدًا في الإجابة.
next 16.1.441 ثغراتتم الإصلاح في 16.4.1قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-2xp9-vwfh-vxw4Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-h25m-26qc-wcjfNext.js HTTP request deserialization can lead to DoS when using insecure React Server Components
- GHSA-p293-qw3h-jr36Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
- GHSA-89xv-2m56-2m9xNext.js: Server-Side Request Forgery in Server Actions on custom servers
- GHSA-c4j6-fc7j-m34rNext.js vulnerable to server-side request forgery in applications using WebSocket upgrades
- GHSA-cjq9-62q9-8jv4Next.js has Server-Side Request Forgery in Image Optimization
- GHSA-p9j2-gv94-2wf4Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
- GHSA-68g3-v927-f742Next.js: Cache confusion of response bodies for requests with bodies
- GHSA-955p-x3mx-jcvpNext.js: Unauthenticated disclosure of internal Server Function endpoints
- GHSA-f87g-xv8r-7p7xNext.js has information disclosure in App Router metadata image routes via dynamicParams bypass
- GHSA-39w2-rjm5-chcvNext.js has information disclosure in development server's Model Context Protocol endpoint
- GHSA-267c-6grr-h53fNext.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
- GHSA-26hh-7cqf-hhc6Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
- GHSA-36qx-fr4f-26g5Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
- GHSA-6gpp-xcg3-4w24Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
- GHSA-492v-c6pp-mqqvNext.js has a Middleware / Proxy bypass through dynamic route parameter injection
- GHSA-mq59-m269-xvcxNext.js: null origin can bypass Server Actions CSRF checks
- GHSA-jcc7-9wpm-mj36Next.js: null origin can bypass dev HMR websocket CSRF checks
- GHSA-4633-3j49-mh5qNext.js: Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences
- GHSA-ffhc-5mcf-pf4qNext.js vulnerable to cross-site scripting in App Router applications using CSP nonces
- GHSA-gx5p-jg67-6x7hNext.js has cross-site scripting in beforeInteractive scripts with untrusted input
- GHSA-8h8q-6873-q5fjNext.js Vulnerable to Denial of Service with Server Components
- GHSA-m99w-x7hq-7vfjNext.js: Denial of Service in App Router using Server Actions
- GHSA-mg66-mrh9-m8jxNext.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
- GHSA-q4gf-8mx6-v5v3Next.js has a Denial of Service with Server Components
- GHSA-3x4c-7xq6-9pq8Next.js: Unbounded next/image disk cache growth can exhaust storage
- GHSA-4c39-4ccg-62r3Next.js: Unbounded Server Action payload in Edge runtime
- GHSA-5f7q-jpqc-wp7hNext.js has Unbounded Memory Consumption via PPR Resume Endpoint
- GHSA-9g9p-9gw9-jx7fNext.js self-hosted applications vulnerable to DoS via Image Optimizer remotePatterns configuration
- GHSA-h27x-g6w4-24gqNext.js: Unbounded postponed resume buffering can lead to DoS
- GHSA-h64f-5h5j-jqjhNext.js has a Denial of Service in the Image Optimization API
- GHSA-mcj8-r9mp-w47pNext.js has cache poisoning in SSG/ISR rendering that leads to cross-user content substitution and persistent denial of service
- GHSA-q8wf-6r8g-63chNext.js: Denial of Service in the Image Optimization API using SVGs
- GHSA-vfv6-92ff-j949Next.js vulnerable to cache poisoning via collisions in React Server Component cache-busting
- GHSA-4jqv-mc3x-m676Next.js has cache poisoning of SSG and ISR pages in self-hosted applications
- GHSA-ggv3-7p47-pfv8Next.js: HTTP request smuggling in rewrites
- GHSA-wfc6-r584-vfw7Next.js vulnerable to cache poisoning in React Server Component responses
- GHSA-3g8h-86w9-wvmqNext.js's Middleware / Proxy redirects can be cache-poisoned
vm2 3.10.554 ثغراتتم الإصلاح في 3.12.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-248r-7h7q-cr24vm2 Has a Sandbox Breakout Using Async Generator
- GHSA-27g9-p43v-cw3vvm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector
- GHSA-47x8-96vw-5wg6vm2 Access to Host Object Enables Sandbox Escape
- GHSA-55hx-c926-fr95VM2 Has a Sandbox Escape Issue via SuppressedError
- GHSA-6j2x-vhqr-qr7qvm2 sandbox escape via JSPI-backed Promise `.finally()` species bypass
- GHSA-76w7-j9cq-rx2jvm2 is Vulnerable to Sandbox Breakout Through Promise Species
- GHSA-88hf-g992-jg85vm2: Sandbox Escape (NodeVM)
- GHSA-9qj6-qjgg-37qqvm2 has sandbox breakout via `neutralizeArraySpeciesBatch`
- GHSA-9vg3-4rfj-wgcmvm2 has Sandbox Breakout Through Null Proto Exception
- GHSA-cfcw-xp6x-25gjvm2: Sandbox Breakout Using Dangerous Host Proto Mutators
- GHSA-grj5-jjm8-h35pVM2 Sandbox Breakout Through __lookupGetter__
- GHSA-j3hm-6rg5-mchvvm2: NodeVM `require.external` without an explicit `require.root` grants unrestricted host filesystem access and full RCE
- GHSA-m4wx-m65x-ghrrvm2 has a CVE-2023-37903 patch bypass: nesting:true without explicit require still allows full RCE
- GHSA-pq68-rvw4-xp4rvm2 contains a sandbox escape vulnerability
- GHSA-qcp4-v2jj-fjx8vm2 has a Sandbox Escape Vulnerability
- GHSA-rp36-8xq3-r6c4NodeVM builtin denylist bypass via process and inspector/promises allows host code execution
- GHSA-v37h-5mfm-c47cVM2 Has Sandbox Breakout Through Inspect Function
- GHSA-v6mx-mf47-r5wgvm2 has a Sandbox Escape issue
- GHSA-vwrp-x96c-mhwqvm2: Mutable Proxies for Host Intrinsic Prototypes Allows Sandbox Escape
- GHSA-wjwh-qqvp-g4p4vm2 sandbox escape via WebAssembly.compileStreaming Promise species bypass
- GHSA-x965-fc75-jpqhvm2 sandbox escape to host RCE via revisited host-wrapped AggregateError bypassing Error sanitization cycle short-circuit
- GHSA-m283-3h24-438vVM2 has Missing Error.cause Sanitization that Enables Sandbox Escape to RCE
- GHSA-qhwx-74w5-xhxqvm2: NodeVM builtin allowlist bypass via node:test.run() execArgv allows sandbox escape
- GHSA-m5q2-4fm3-vfqpvm2 has a sandbox escape via unblocked cross-realm Symbol.for keys + missing bridge write-trap symbol checks
- GHSA-cp6g-6699-wx9cvm2 has a NodeVM require.root bypass via symlink traversal that allows sandbox escape
- GHSA-jxxv-8r27-vm4pvm2 CLI provides no sandbox isolation - host-realm require() is reachable from sandboxed scripts
- GHSA-fcqc-726x-5wfcvm2: Sandboxed code can read and write host-realm memory via Node's shared Buffer pool
- GHSA-m5w8-4gq2-6f8xvm2: NodeVM `builtin: ['*']` exposes `os` and `dns` — process-wide observability reads AND writes that hijack the host (sibling class of GHSA-9g8x-92q2-p28f)
- GHSA-r9pm-gxmw-wv6pNodeVM network builtin exclusions bypass via internal _http_client and _http_server
- GHSA-489w-w794-jq94vm2: NodeVM zlib Buffers expose pooled host memory across the VM boundary
- GHSA-9g8x-92q2-p28fNodeVM observability builtins leak host process and HTTP request data
- GHSA-r273-hxvj-fxhpvm2: util.getCallSites() bypasses GHSA-v27g-jcqj-v8rw host-frame redaction, leaks host call stack
- GHSA-v27g-jcqj-v8rwvm2 is Vulnerable to Host File Path Disclosure via Stack Trace Information Leak
- GHSA-wp5r-2gw5-m7q7vm2's Transformer Fast-Path Bypass Exposes Internal State Variable
- GHSA-7q3f-wx44-378mvm2: External module allowlist uses a raw prefix test, so a prefix-sharing sibling package is treated as allowlisted
- GHSA-5h3f-q97h-ccvcvm2: NodeVM custom resolution bypasses external path boundaries
- GHSA-8686-vhfx-7r3jvm2: NodeVM node:-prefixed negative builtin deny bypass exposes child_process
- GHSA-8hg8-63c5-gwmxvm2 NodeVM `nesting: true` bypasses `require: false` allowing sandbox escape and arbitrary OS command execution
- GHSA-947f-4v7f-x2v8vm2 has a NodeVM builtin allowlist bypass via `module` builtin's `Module._load` that allows sandbox escape
- GHSA-c48m-32m9-vx93vm2 Custom Module Resolver Can Bypass the External Package Allowlist by Loading a Colliding Host Package
- GHSA-6rh5-qq4q-97xhvm2: NodeVM builtin denylist bypass via fs/promises despite -fs, allowing host filesystem writes
- GHSA-c4cf-2hgv-2qv6vm2's Bridge Proxy set trap ignores receiver parameter, enabling host object property injection via prototype chain
- GHSA-633r-hq9m-c4ffvm2: vm.freeze()/vm.readonly() bypass via accessor descriptor
- GHSA-gjq8-xm47-88rcvm2: Host-returned Promise rejection can bypass vm2's unhandled-rejection hardening and terminate the host process
- GHSA-2v2p-6j97-cjg9vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process
- GHSA-6785-pvv7-mvg7vm2 Sandbox Access to Host Buffer.alloc Allows timeout Bypass Resulting in Memory Exhaustion
- GHSA-gmc2-2x9w-cgh9vm2's bufferAllocLimit cap bypassed by Buffer.concat and Buffer.from arrayLike
- GHSA-hw58-p9xv-2mjhvm2 has a Sandbox Escape via Promise Constructor Unhandled Rejection (Process Crash DoS)
- GHSA-r4fx-v8hh-22mvvm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)
- GHSA-v836-6xw4-9cx3vm2 has Memory Exhaustion DoS via bufferAllocLimit Bypass
- GHSA-f8gf-w286-fmq2vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM
- GHSA-2cm2-m3w5-gp2fvm2 has access to `VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL`
- GHSA-mpf8-4hx2-7cjgvm2 Host Promise Resolution Preserves Object Identity Across Sandbox Boundary
- GHSA-q3fm-4wcw-g57xvm2 setup-sandbox.js violates Defense Invariant #11 in stack-trace formatter
handlebars 4.7.711 ثغراتتم الإصلاح في 4.7.10قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-2w6w-674q-4c4qHandlebars.js has JavaScript Injection via AST Type Confusion
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-3mfm-83xf-c92rHandlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
- GHSA-xhpv-hc6g-r9c6Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
- GHSA-xjpj-3mr7-gcpfHandlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
- GHSA-2qvq-rjwj-gvw9Handlebars.js has Prototype Pollution Leading to XSS through Partial Template Injection
- GHSA-7rx3-28cr-v5whHandlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
- GHSA-9cx6-37pm-9jffHandlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
- GHSA-442j-39wm-28r2Handlebars.js has a Property Access Validation Bypass in container.lookup
handlebars 4.7.811 ثغراتتم الإصلاح في 4.7.10قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-2w6w-674q-4c4qHandlebars.js has JavaScript Injection via AST Type Confusion
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-3mfm-83xf-c92rHandlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
- GHSA-xhpv-hc6g-r9c6Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
- GHSA-xjpj-3mr7-gcpfHandlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
- GHSA-2qvq-rjwj-gvw9Handlebars.js has Prototype Pollution Leading to XSS through Partial Template Injection
- GHSA-7rx3-28cr-v5whHandlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
- GHSA-9cx6-37pm-9jffHandlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
- GHSA-442j-39wm-28r2Handlebars.js has a Property Access Validation Bypass in container.lookup
handlebars 4.7.93 ثغراتتم الإصلاح في 4.7.10قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
underscore 1.7.02 ثغراتتم الإصلاح في 1.13.8قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-cf4h-3jhx-xvhqArbitrary Code Execution in underscore
- GHSA-qpx9-hpmf-5gmwUnderscore has unlimited recursion in _.flatten and _.isEqual, potential for DoS attack
storybook 8.6.04 ثغراتتم الإصلاح في 8.6.19قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-f2ph-cmg5-wxc8Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites
- GHSA-px85-f4q5-jh77Storybook dev server vulnerable to code injection from the local network
- GHSA-8452-54wp-rmv6Storybook manager bundle may expose environment variables during build
- GHSA-mjf5-7g4m-gx5wStorybook Dev Server is Vulnerable to WebSocket Hijacking
@storybook/core 8.6.02 ثغراتتم الإصلاح في 8.6.19قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-f2ph-cmg5-wxc8Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites
- GHSA-px85-f4q5-jh77Storybook dev server vulnerable to code injection from the local network
chrome-launcher 0.10.71 ثغرةتم الإصلاح في 0.13.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-gp2j-mg4w-2rh5chrome-launcher subject to OS Command Injection
ejs 2.7.42 ثغراتتم الإصلاح في 3.1.10قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-phwq-j96m-2c2qejs template injection vulnerability
- GHSA-ghr5-ch3p-vcr6ejs lacks certain pollution protection
shell-quote 1.7.32 ثغراتتم الإصلاح في 1.9.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
shell-quote 1.7.42 ثغراتتم الإصلاح في 1.9.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
shell-quote 1.8.22 ثغراتتم الإصلاح في 1.9.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
protobufjs 6.11.213 ثغراتتم الإصلاح في 7.6.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-h755-8qp9-cq85protobufjs Prototype Pollution vulnerability
- GHSA-g954-5hwp-pp24Prototype Pollution in protobufjs
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.2.412 ثغراتتم الإصلاح في 7.6.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-h755-8qp9-cq85protobufjs Prototype Pollution vulnerability
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.5.312 ثغراتتم الإصلاح في 7.6.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-j3f2-48v5-ccwwprotobufjs: Denial of Service via infinite loop in .proto option parsing
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.5.412 ثغراتتم الإصلاح في 7.6.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-j3f2-48v5-ccwwprotobufjs: Denial of Service via infinite loop in .proto option parsing
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 6.11.411 ثغراتتم الإصلاح في 7.6.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
@babel/traverse 7.6.21 ثغرةتم الإصلاح في 7.23.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-67hx-6x53-jw92Babel vulnerable to arbitrary code execution when compiling specifically crafted malicious code
piscina 3.2.02 ثغراتتم الإصلاح في 4.9.4قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-x9g3-xrwr-cwfgpiscina: Prototype Pollution Gadget → RCE via inherited options.filename
- GHSA-67c8-pqhq-4rmxpiscina: Prototype-pollution gadget in ThreadPool.options allows RCE via execArgv / loadBalancer / env
lodash 3.10.16 ثغراتتم الإصلاح في 4.18.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-35jh-r3h4-6jhmCommand Injection in lodash
- GHSA-jf85-cpcp-j695Prototype Pollution in lodash
- GHSA-p6mc-m468-83gwPrototype Pollution in lodash
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-fvqr-27wr-82fmPrototype Pollution in lodash
- GHSA-4xc9-xhrj-v574Prototype Pollution in lodash
basic-ftp 5.0.55 ثغراتتم الإصلاح في 6.2.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-5rq4-664w-9x2cBasic FTP has Path Traversal Vulnerability in its downloadToDir() method
- GHSA-6v7q-wjvx-w8wgbasic-ftp: Incomplete CRLF Injection Protection Allows Arbitrary FTP Command Execution via Credentials and MKD Commands
- GHSA-c475-qrg2-pj4rbasic-ftp: Quadratic-time CPU denial of service in Client.list() Unix directory-listing parser (RE_LINE backtracking)
- GHSA-rp42-5vxx-qpwrbasic-ftp vulnerable to denial of service via unbounded memory consumption in Client.list()
- GHSA-rpmf-866q-6p89basic-ftp allows a malicious FTP server to cause client-side denial of service via unbounded multiline control response buffering
socket.io-parser 3.3.24 ثغراتتم الإصلاح في 3.3.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qm95-pgcg-qqfqInsufficient validation when decoding a Socket.IO packet
- GHSA-2m8v-j782-fhvrSocket.IO: Zero-attachment Memory Exhaustion
- GHSA-677m-j7p3-52f9socket.io allows an unbounded number of binary attachments
- GHSA-cqmj-92xf-r6r9Insufficient validation when decoding a Socket.IO packet
socket.io-parser 3.4.14 ثغراتتم الإصلاح في 3.4.5قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qm95-pgcg-qqfqInsufficient validation when decoding a Socket.IO packet
- GHSA-2m8v-j782-fhvrSocket.IO: Zero-attachment Memory Exhaustion
- GHSA-677m-j7p3-52f9socket.io allows an unbounded number of binary attachments
- GHSA-cqmj-92xf-r6r9Insufficient validation when decoding a Socket.IO packet
elliptic 6.5.38 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-vjh7-7g9h-fjfhElliptic's private key extraction in ECDSA upon signing a malformed input (e.g. a string)
- GHSA-r9p9-mrjm-926wElliptic Uses a Broken or Risky Cryptographic Algorithm
- GHSA-434g-2637-qmqrElliptic's verify function omits uniqueness validation
- GHSA-49q7-c7j4-3p7mElliptic allows BER-encoded signatures
- GHSA-f7q4-pwc6-w24pElliptic's EDDSA missing signature length check
- GHSA-fc9h-whq2-v747Valid ECDSA signatures erroneously rejected in Elliptic
- GHSA-848j-6mx2-7j84Elliptic Uses a Cryptographic Primitive with a Risky Implementation
- GHSA-977x-g7h5-7qgwElliptic's ECDSA missing check for whether leading bit of r and s is zero
elliptic 6.5.47 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-vjh7-7g9h-fjfhElliptic's private key extraction in ECDSA upon signing a malformed input (e.g. a string)
- GHSA-434g-2637-qmqrElliptic's verify function omits uniqueness validation
- GHSA-49q7-c7j4-3p7mElliptic allows BER-encoded signatures
- GHSA-f7q4-pwc6-w24pElliptic's EDDSA missing signature length check
- GHSA-fc9h-whq2-v747Valid ECDSA signatures erroneously rejected in Elliptic
- GHSA-848j-6mx2-7j84Elliptic Uses a Cryptographic Primitive with a Risky Implementation
- GHSA-977x-g7h5-7qgwElliptic's ECDSA missing check for whether leading bit of r and s is zero
tar 6.1.1113 ثغراتتم الإصلاح في 7.5.21قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-f5x3-32g6-xq36Denial of service while parsing a tar file due to lack of folders count validation
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 6.2.112 ثغراتتم الإصلاح في 7.5.21قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 7.5.79 ثغراتتم الإصلاح في 7.5.21قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
proxy-addr 2.0.51 ثغرةتم الإصلاح في 2.0.8قد ينتحل أحدهم صفة مستخدم آخر. من أي مكان على الإنترنت، دون حساب.
- GHSA-jqcg-44mw-7w3hproxy-addr vulnerable to IP spoofing via IPv4-mapped IPv6 trust subnet
proxy-addr 2.0.71 ثغرةتم الإصلاح في 2.0.8قد ينتحل أحدهم صفة مستخدم آخر. من أي مكان على الإنترنت، دون حساب.
- GHSA-jqcg-44mw-7w3hproxy-addr vulnerable to IP spoofing via IPv4-mapped IPv6 trust subnet
loader-utils 1.4.03 ثغراتتم الإصلاح في 1.4.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-76p3-8jx3-jpfqPrototype pollution in webpack loader-utils
- GHSA-3rfm-jhwj-7488loader-utils is vulnerable to Regular Expression Denial of Service (ReDoS) via url variable
- GHSA-hhq3-ff78-jv3gloader-utils is vulnerable to Regular Expression Denial of Service (ReDoS)
json-schema 0.2.31 ثغرةتم الإصلاح في 0.4.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-896r-f27r-55mwjson-schema is vulnerable to Prototype Pollution
sha.js 2.4.111 ثغرةتم الإصلاح في 2.4.12قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-95m3-7q98-8xr5sha.js is missing type checks leading to hash rewind and passing on crafted data
cipher-base 1.0.41 ثغرةتم الإصلاح في 1.0.5قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-cpq7-6gpm-g9rccipher-base is missing type checks, leading to hash rewind and passing on crafted data
pbkdf2 3.1.13 ثغراتتم الإصلاح في 3.1.7قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-h7cp-r72f-jxh6pbkdf2 returns predictable uninitialized/zero-filled memory for non-normalized or unimplemented algos
- GHSA-v62p-rq8g-8h59pbkdf2 silently disregards Uint8Array input, returning static keys
- GHSA-477h-4r7f-fvrxpbkdf2 rehashes long passwords on every iteration, enabling denial of service
pbkdf2 3.1.23 ثغراتتم الإصلاح في 3.1.7قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-h7cp-r72f-jxh6pbkdf2 returns predictable uninitialized/zero-filled memory for non-normalized or unimplemented algos
- GHSA-v62p-rq8g-8h59pbkdf2 silently disregards Uint8Array input, returning static keys
- GHSA-477h-4r7f-fvrxpbkdf2 rehashes long passwords on every iteration, enabling denial of service
fast-xml-parser 4.4.16 ثغراتتم الإصلاح في 5.7.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-m7jm-9gc2-mpf2fast-xml-parser has an entity encoding bypass via regex injection in DOCTYPE entity names
- GHSA-8gc5-j5rx-235rfast-xml-parser affected by numeric entity expansion bypassing all entity expansion limits (incomplete fix for CVE-2026-26278)
- GHSA-jmr7-xgp7-cmfjfast-xml-parser affected by DoS through entity expansion in DOCTYPE (no expansion limit)
- GHSA-jp2q-39xq-3w4gEntity Expansion Limits Bypassed When Set to Zero Due to JavaScript Falsy Evaluation in fast-xml-parser
- GHSA-gh4j-gqv2-49f6fast-xml-parser XMLBuilder: XML Comment and CDATA Injection via Unescaped Delimiters
- GHSA-fj3w-jwp8-x2g3fast-xml-parser has stack overflow in XMLBuilder with preserveOrder
websocket-driver 0.7.42 ثغراتتم الإصلاح في 0.7.5قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-xv26-6w52-cph6websocket-driver: Message corruption via abuse of protocol length headers
- GHSA-mp7j-qc5w-4988websocket-driver: Resource limit bypass via message compression
minimist 0.0.82 ثغراتتم الإصلاح في 0.2.4قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-xvch-5gv4-984hPrototype Pollution in minimist
- GHSA-vh95-rmgr-6w4mPrototype Pollution in minimist
minimist 0.0.102 ثغراتتم الإصلاح في 0.2.4قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-xvch-5gv4-984hPrototype Pollution in minimist
- GHSA-vh95-rmgr-6w4mPrototype Pollution in minimist
form-data 2.3.32 ثغراتتم الإصلاح في 2.5.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
form-data 2.5.12 ثغراتتم الإصلاح في 2.5.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
form-data 3.0.12 ثغراتتم الإصلاح في 3.0.5قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
tar 7.5.116 ثغراتتم الإصلاح في 7.5.21قد يغيّر أحدهم بيانات أو ملفات. بالوصول إلى الجهاز فقط.
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 7.5.156 ثغراتتم الإصلاح في 7.5.21قد يغيّر أحدهم بيانات أو ملفات. بالوصول إلى الجهاز فقط.
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
axios 1.13.634 ثغراتتم الإصلاح في 1.20.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-3pq3-5fj3-cg6vAxios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-4hqw-qxg8-jxx2Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-542g-h47m-68v8Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-mwf2-3pr3-8698Axios: HTTP/2 streamed uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 1.7.933 ثغراتتم الإصلاح في 1.20.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-4hjh-wcwx-xvwjAxios is vulnerable to DoS attack through lack of data size check
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 1.9.032 ثغراتتم الإصلاح في 1.20.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-4hjh-wcwx-xvwjAxios is vulnerable to DoS attack through lack of data size check
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 0.27.224 ثغراتتم الإصلاح في 0.34.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pjwm-pj3p-43mvaxios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-wf5p-g6vw-rhxxAxios Cross-Site Request Forgery Vulnerability
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
axios 0.26.123 ثغراتتم الإصلاح في 0.33.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pjwm-pj3p-43mvaxios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-wf5p-g6vw-rhxxAxios Cross-Site Request Forgery Vulnerability
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
react-router 7.0.213 ثغراتتم الإصلاح في 7.18.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-49rj-9fvp-4h2hReact Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE
- GHSA-337j-9hxr-rhxgReact Router: Arbitrary Constructor Injection via deserializeErrors() in React Router SSR Hydration
- GHSA-h5cw-625j-3rxhReact Router has CSRF issue in Action/Server Action Request Processing
- GHSA-2w69-qvjg-hvjxReact Router vulnerable to XSS via Open Redirects
- GHSA-8v8x-cx79-35w7React Router SSR XSS in ScrollRestoration
- GHSA-3cgp-3xvw-98x8React Router has XSS Vulnerability
- GHSA-2j2x-hqr9-3h42React Router's same-origin redirect with path starting // causes open redirect via protocol-relative URL reinterpretation
- GHSA-wrjc-x8rr-h8h6React Router: Open redirect via backslash in <Link> and useNavigate (CVE-2025-68470 bypass)
- GHSA-9jcx-v3wj-wh4mReact Router has unexpected external redirect via untrusted paths
- GHSA-8x6r-g9mw-2r78React Router vulnerable to DoS via unbounded path expansion in __manifest endpoint
- GHSA-chx6-hx7r-mcp5React Router: Unauthenticated Denial of Service via Inefficient Route Matching
- GHSA-cpj6-fhp6-mr6jReact Router allows pre-render data spoofing on React-Router framework mode
- GHSA-rxv8-25v2-qmq8React Router vulnerable to Denial of Service via reflected user input in single-fetch
launch-editor 2.9.14 ثغراتتم الإصلاح في 2.14.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
- GHSA-v6wh-96g9-6wx3launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows
serialize-javascript 6.0.14 ثغراتتم الإصلاح في 7.1.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-76p7-773f-r4q5Cross-site Scripting (XSS) in serialize-javascript
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
serialize-javascript 4.0.02 ثغراتتم الإصلاح في 7.1.3قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
lodash 4.17.213 ثغراتتم الإصلاح في 4.18.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-r5fr-rjxr-66jclodash vulnerable to Code Injection via `_.template` imports key names
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-xxjr-mmjv-4gpgLodash has Prototype Pollution Vulnerability in `_.unset` and `_.omit` functions
lodash-es 4.17.213 ثغراتتم الإصلاح في 4.18.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-r5fr-rjxr-66jclodash vulnerable to Code Injection via `_.template` imports key names
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-xxjr-mmjv-4gpgLodash has Prototype Pollution Vulnerability in `_.unset` and `_.omit` functions
@modelcontextprotocol/sdk 1.18.17 ثغراتتم الإصلاح في 1.32.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-w48q-cv73-mx4wModel Context Protocol (MCP) TypeScript SDK does not enable DNS rebinding protection by default
- GHSA-6qxp-vccf-f47hMCP TypeScript SDK: OAuth client could send credentials to an authorization server chosen by the MCP server
- GHSA-345p-7cg4-v4c7@modelcontextprotocol/sdk has cross-client data leak via shared server/transport instance reuse
- GHSA-6prh-2h8m-c8cwMCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies
- GHSA-rvq5-wwqv-78pqMCP TypeScript SDK: Server bearer authentication accepted tokens issued for another service
- GHSA-46jr-4wx8-v453MCP TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation
- GHSA-8r9q-7v3j-jr4gAnthropic's MCP TypeScript SDK has a ReDoS vulnerability
nanoid 3.1.305 ثغراتتم الإصلاح في 3.3.18قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-qrpm-p2h7-hrv2Exposure of Sensitive Information to an Unauthorized Actor in nanoid
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 2.1.114 ثغراتتم الإصلاح في 3.3.18قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 3.1.324 ثغراتتم الإصلاح في 3.3.18قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 3.3.113 ثغراتتم الإصلاح في 3.3.18قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
glob 10.4.51 ثغرةتم الإصلاح في 10.5.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-5j98-mcp5-4vw2glob CLI: Command injection via -c/--cmd executes matches with shell:true
glob 11.0.31 ثغرةتم الإصلاح في 11.1.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-5j98-mcp5-4vw2glob CLI: Command injection via -c/--cmd executes matches with shell:true
follow-redirects 1.9.05 ثغراتتم الإصلاح في 1.16.0قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-74fj-2j2h-c42qExposure of sensitive information in follow-redirects
- GHSA-pw2r-vq6v-hr8cExposure of Sensitive Information to an Unauthorized Actor in follow-redirects
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
- GHSA-cxjh-pqwp-8mfpfollow-redirects' Proxy-Authorization header kept across hosts
- GHSA-jchw-25xp-jwwcFollow Redirects improperly handles URLs in the url.parse() function
sharp 0.30.74 ثغراتتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-54xq-cgqr-rpm3sharp vulnerability in libwebp dependency CVE-2023-4863
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.33.53 ثغراتتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.34.33 ثغراتتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.34.53 ثغراتتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.35.32 ثغراتتم الإصلاح في 0.35.5قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بالوصول إلى الجهاز فقط.
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
js-yaml 3.6.17 ثغراتتم الإصلاح في 3.15.2قد يشغّل أحدهم شيفرته الخاصة حيث يعمل.
- GHSA-8j8c-7jfh-h6hxCode Injection in js-yaml
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-2pr6-76vf-7546Denial of Service in js-yaml
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
mermaid 10.9.19 ثغراتتم الإصلاح في 10.9.8قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. من أي مكان على الإنترنت، دون حساب.
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-87f9-hvmw-gh4pMermaid: Improper sanitization of configuration leads to CSS injection
- GHSA-ghcm-xqfw-q4vrMermaid: Improper sanitization of `classDef` in state diagrams leads to HTML injection
- GHSA-xcj9-5m2h-648rMermaid: Improper sanitization of `classDefs` in diagrams leads to CSS injection
- GHSA-m4gq-x24j-jpmfPrototype pollution vulnerability found in Mermaid's bundled version of DOMPurify
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-7rqq-prvp-x9jhMermaid improperly sanitizes sequence diagram labels leading to XSS
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-6m6c-36f7-fhxhMermaid Gantt Charts are vulnerable to an Infinite Loop DoS
nodemailer 6.8.019 ثغراتتم الإصلاح في 10.1.4قد يشغّل أحدهم شيفرته الخاصة حيث يعمل. بحساب فقط.
- GHSA-vvjj-xcjg-gr5gNodemailer Vulnerable to SMTP Command Injection via CRLF in Transport name Option (EHLO/HELO)
- GHSA-c7w3-x93f-qmm8Nodemailer has SMTP command injection due to unsanitized `envelope.size` parameter
- GHSA-p6gq-j5cr-w38fNodemailer: Message-level raw option bypasses disableFileAccess/disableUrlAccess, enabling arbitrary file read and full-response SSRF in the delivered message
- GHSA-85x2-q946-cp5hNodemailer: A ">" inside a quoted local part ends an angle-addr early in addressparser, delivering to a domain the header does not name
- GHSA-8c8m-p3m8-cjg8Nodemailer: A nested comment ends early in addressparser, releasing the rest of the comment as a recipient
- GHSA-m943-m63m-w62wNodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient
- GHSA-wmmp-3585-3rmpNodemailer: IDN/Punycode domain allow-list bypass leads to email delivery to an attacker-controlled domain
- GHSA-8m3c-c648-2xjjNodemailer: resolveContent() on a MailMessage bypasses disableFileAccess/disableUrlAccess when called with the legacy signature
- GHSA-wqvq-jvpq-h66fNodemailer jsonTransport bypasses disableFileAccess and disableUrlAccess during message normalization
- GHSA-2x7j-588g-ccc2Nodemailer: Quadratic (O(n²)) time complexity in addressparser allows remote denial of service via a crafted address list
- GHSA-rcmh-qjqh-p98vNodemailer’s addressparser is vulnerable to DoS caused by recursive calls
- GHSA-v53p-9fqp-m79jNodemailer: Quadratic backtracking in the addressparser free-text fallback allows remote denial of service
- GHSA-8vvx-rff5-p5rqNodemailer: Nested structured recipient arrays bypass the parser depth limit and cause stack exhaustion DoS
- GHSA-9h6g-pr28-7cqpnodemailer ReDoS when trying to send a specially crafted email
- GHSA-39m8-27wv-hr27Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing
- GHSA-r7g4-qg5f-qqm2Nodemailer: Improper TLS Certificate Validation in OAuth2 Token Fetch Enables Credential Interception
- GHSA-6vj9-mwq6-2f5vNodemailer: Process-global DNS cache reuses TLS `servername` across transports, enabling cross-tenant SMTP credential disclosure
- GHSA-mm7p-fcc7-pg87Nodemailer: Email to an unintended domain can occur due to Interpretation Conflict
- GHSA-268h-hp4c-crq3Nodemailer: CRLF injection in Nodemailer List-* header comments allows arbitrary message header injection
swig 1.4.21 ثغرةقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-2rq5-699j-x7p6Arbitrary local file read vulnerability during template rendering
mariadb 2.5.65 ثغراتتم الإصلاح في 3.2.5قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-48qf-xh34-q73rMariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters
- GHSA-r3rv-jm3r-62q2MariaDB Connector/Node.js: SQL injection in the text protocol when the session uses NO_BACKSLASH_ESCAPES
- GHSA-42r5-vhpq-m858MariaDB has Cleartext Transmission of Sensitive Information and Insufficiently Protected Credentials
- GHSA-g5xc-5w98-jfvmMariaDB has possible SQL injection in Buffer parameter escaping under big5/gbk/sjis/cp932/gb18030 client charsets
- GHSA-cqhc-2h57-wpxfMariaDB's connector leaks the cleartext password to an MitM despite `ssl: true`
undici 7.22.027 ثغراتتم الإصلاح في 7.30.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-4cwx-7wf7-3272undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives
- GHSA-2jfj-6hjv-fm6jundici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches
- GHSA-jr45-8vmc-qm54undici vulnerable to cross-user information disclosure via whitespace around equals in Cache-Control directives
- GHSA-pr7r-676h-xcf6undici vulnerable to cross-user information disclosure via shared cache whitespace bypass
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-f269-vfmq-vjvjUndici: Malicious WebSocket 64-bit length overflows parser and crashes the client
- GHSA-rfgv-xxqx-mfg5undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-3xpg-4rpp-hhhmundici vulnerable to Denial of Service via unbounded decompression of compressed responses
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- GHSA-phc3-fgpg-7m6hUndici has Unbounded Memory Consumption in its DeduplicationHandler via Response Buffering that leads to DoS
- GHSA-pmjh-fq2x-6v4xundici vulnerable to Denial of Service via orphaned RetryHandler response body
- GHSA-rx4f-c7p8-82vqundici vulnerable to Denial of Service via WebSocketStream unclean close
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-2gqq-gqf2-x968undici vulnerable to response truncation via oversized chunked responses in the dump interceptor
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-8436-99hf-9mmvundici vulnerable to caching and replay of unsafe HTTP method responses
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
fast-xml-builder 1.1.41 ثغرةتم الإصلاح في 1.1.7قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-5wm8-gmm8-39j9fast-xml-builder allows attribute values with unwanted quotes to bypass malicious or unwanted attributes
postcss 8.4.314 ثغراتتم الإصلاح في 8.5.23قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-6g55-p6wh-862qPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
- GHSA-qx2v-qp2m-jg93PostCSS has XSS via Unescaped </style> in its CSS Stringify Output
postcss 8.5.64 ثغراتتم الإصلاح في 8.5.23قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-6g55-p6wh-862qPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
- GHSA-qx2v-qp2m-jg93PostCSS has XSS via Unescaped </style> in its CSS Stringify Output
extract-zip 1.7.02 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-7pqw-9j4j-h8q3extract-zip allows arbitrary file writes through symlink archive entries
- GHSA-jmr9-qjv8-65gvextract-zip unvalidated symlink path traversal
extract-zip 2.0.12 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-7pqw-9j4j-h8q3extract-zip allows arbitrary file writes through symlink archive entries
- GHSA-jmr9-qjv8-65gvextract-zip unvalidated symlink path traversal
tar-fs 2.1.13 ثغراتتم الإصلاح في 2.1.4قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-8cj5-5rvv-wf4vtar-fs can extract outside the specified dir with a specific tarball
- GHSA-pq67-2wwv-3xjxtar-fs Vulnerable to Link Following and Path Traversal via Extracting a Crafted tar File
- GHSA-vj76-c3g6-qr5vtar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball
moment 2.24.02 ثغراتتم الإصلاح في 2.29.4قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-8hfj-j24r-96c4Path Traversal: 'dir/../../filename' in moment.locale
- GHSA-wc69-rhjr-hc9gMoment.js vulnerable to Inefficient Regular Expression Complexity
http-cache-semantics 3.8.12 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
- GHSA-rc47-6667-2j5jhttp-cache-semantics vulnerable to Regular Expression Denial of Service
http-cache-semantics 4.1.02 ثغراتقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
- GHSA-rc47-6667-2j5jhttp-cache-semantics vulnerable to Regular Expression Denial of Service
fast-uri 3.0.612 ثغراتتم الإصلاح في 3.1.9قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
webpack-dev-middleware 6.1.31 ثغرةتم الإصلاح في 7.4.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
webpack-dev-middleware 7.4.21 ثغرةتم الإصلاح في 7.4.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
rollup 2.35.12 ثغراتتم الإصلاح في 2.80.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-mw96-cpmx-2vgcRollup 4 has Arbitrary File Write via Path Traversal
- GHSA-gcx4-mw62-g8wmDOM Clobbering Gadget found in rollup bundled scripts that leads to XSS
ip-address 5.9.46 ثغراتتم الإصلاح في 10.7.4قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-mwp4-54f8-5fhrip-address: Address4 decodes leading-zero octets as decimal while resolvers decode them as octal, allowing SSRF and trust-boundary bypass
- GHSA-rpw4-54j3-4h4qip-address: Address6.isLinkLocal() recognizes fe80::/64 rather than fe80::/10, allowing SSRF and trust-boundary bypass to on-link hosts
- GHSA-v2v4-37r5-5v8gip-address has XSS in Address6 HTML-emitting methods
- GHSA-h3mg-xc3c-68pwip-address: Address6 builds a parse diagnostic proportional to the input with no length bound, allowing a single long string to stall or crash the process
- GHSA-rxp7-6hxx-x8q5ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process
- GHSA-j6r3-76f7-8jcvip-address: isInSubnet() and isHostInSubnet() compare addresses of different families as if they shared an address space, allowing an allowlist check to admit an address outside its range
ip-address 9.0.56 ثغراتتم الإصلاح في 10.7.4قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-mwp4-54f8-5fhrip-address: Address4 decodes leading-zero octets as decimal while resolvers decode them as octal, allowing SSRF and trust-boundary bypass
- GHSA-rpw4-54j3-4h4qip-address: Address6.isLinkLocal() recognizes fe80::/64 rather than fe80::/10, allowing SSRF and trust-boundary bypass to on-link hosts
- GHSA-v2v4-37r5-5v8gip-address has XSS in Address6 HTML-emitting methods
- GHSA-h3mg-xc3c-68pwip-address: Address6 builds a parse diagnostic proportional to the input with no length bound, allowing a single long string to stall or crash the process
- GHSA-rxp7-6hxx-x8q5ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process
- GHSA-j6r3-76f7-8jcvip-address: isInSubnet() and isHostInSubnet() compare addresses of different families as if they shared an address space, allowing an allowlist check to admit an address outside its range
tar-fs 3.1.01 ثغرةتم الإصلاح في 3.1.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-vj76-c3g6-qr5vtar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball
node-fetch 1.7.31 ثغرةتم الإصلاح في 2.6.7قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-r683-j2x4-v87gnode-fetch forwards secure headers to untrusted sites
node-fetch 2.6.11 ثغرةتم الإصلاح في 2.6.7قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-r683-j2x4-v87gnode-fetch forwards secure headers to untrusted sites
moment 2.29.41 ثغرةتم الإصلاح في 2.31.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-4p3w-j4w9-5jqwmoment vulnerable to Path Traversal via crafted non-string locale name
webpack-dev-server 5.2.06 ثغراتتم الإصلاح في 5.2.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-4v9v-hfq4-rm2vwebpack-dev-server users' source code may be stolen when they access a malicious web site
- GHSA-79cf-xcqc-c78wwebpack-dev-server vulnerable to cross-origin source code exposure on non-HTTPS origins
- GHSA-9jgg-88mc-972hwebpack-dev-server users' source code may be stolen when they access a malicious web site with non-Chromium based browser
- GHSA-f5vj-f2hx-8m93webpack-dev-server vulnerable to cross-site request forgery via internal developer endpoints
- GHSA-m28w-2pqf-7qgjwebpack-dev-server vulnerable to denial of service via a malformed Host or Origin header
- GHSA-mx8g-39q3-5c79webpack-dev-server vulnerable to HMR WebSocket interception via permissive user proxies
esbuild 0.23.11 ثغرةتم الإصلاح في 0.25.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
apollo-server-core 3.13.01 ثغرةقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-9q82-xgwf-vj6hApollo Server: Browser bug allows for bypass of XS-Search (read-only Cross-Site Request Forgery) prevention
request 2.88.21 ثغرةقد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-p8p7-x288-28g6Server-Side Request Forgery in Request
@opentelemetry/instrumentation-knex 0.44.11 ثغرةتم الإصلاح في 0.65.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mongoose 0.46.11 ثغرةتم الإصلاح في 0.67.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mysql 0.45.11 ثغرةتم الإصلاح في 0.67.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mysql2 0.45.21 ثغرةتم الإصلاح في 0.67.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-pg 0.51.11 ثغرةتم الإصلاح في 0.73.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-tedious 0.18.11 ثغرةتم الإصلاح في 0.40.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
follow-redirects 1.15.91 ثغرةتم الإصلاح في 1.16.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
follow-redirects 1.15.111 ثغرةتم الإصلاح في 1.16.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. من أي مكان على الإنترنت، دون حساب.
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
ws 8.2.33 ثغراتتم الإصلاح في 8.21.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.14.23 ثغراتتم الإصلاح في 8.21.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.18.02 ثغراتتم الإصلاح في 8.21.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.18.32 ثغراتتم الإصلاح في 8.21.0قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
undici 5.26.318 ثغراتتم الإصلاح في 6.28.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-3787-6prv-h9w3Undici proxy-authorization header not cleared on cross-origin redirect in fetch
- GHSA-m4v8-wqvr-p9f7Undici's Proxy-Authorization header not cleared on cross-origin redirect for dispatch, request, stream, pipeline
- GHSA-9qxr-qj54-h672Undici's fetch with integrity option is too lax when algorithm is specified but hash value is in incorrect
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
webpack 5.99.92 ثغراتتم الإصلاح في 5.104.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- GHSA-38r7-794h-5758webpack buildHttp HttpUriPlugin allowedUris bypass via HTTP redirects → SSRF + cache persistence
- GHSA-8fgc-7cc6-rx7xwebpack buildHttp: allowedUris allow-list bypass via URL userinfo (@) leading to build-time SSRF behavior
@babel/core 7.29.01 ثغرةتم الإصلاح في 7.29.6قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- GHSA-4x5r-pxfx-6jf8@babel/core: Arbitrary File Read via sourceMappingURL Comment
node-forge 1.3.17 ثغراتقد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-5gfm-wpxj-wjgqnode-forge has an Interpretation Conflict vulnerability via its ASN.1 Validator Desynchronization
- GHSA-554w-wpv2-vw27node-forge has ASN.1 Unbounded Recursion
- GHSA-5m6q-g25r-mvwxForge has Denial of Service via Infinite Loop in BigInteger.modInverse() with Zero Input
- GHSA-2328-f5f3-gj25Forge has a basicConstraints bypass in its certificate chain verification (RFC 5280 violation)
- GHSA-86w9-cpqp-85rvnode-forge RSA PKCS#1 v1.5 signature verification accepts extra nested DigestAlgorithm elements
- GHSA-q67f-28xg-22rwForge has signature forgery in Ed25519 due to missing S > L check
- GHSA-65ch-62r8-g69gnode-forge is vulnerable to ASN.1 OID Integer Truncation
browserslist 4.24.52 ثغراتتم الإصلاح في 4.28.7قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
@graphql-tools/utils 8.9.01 ثغرةتم الإصلاح في 12.0.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-7mx3-vvmw-hjmvGraphQL Tools has prototype pollution in well-established utility function `mergeDeep`
@graphql-tools/utils 9.2.11 ثغرةتم الإصلاح في 12.0.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-7mx3-vvmw-hjmvGraphQL Tools has prototype pollution in well-established utility function `mergeDeep`
y18n 4.0.01 ثغرةتم الإصلاح في 4.0.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-c4w7-xm78-47vhPrototype Pollution in y18n
dot-prop 4.2.01 ثغرةتم الإصلاح في 4.2.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-ff7x-qrg7-qggmdot-prop Prototype Pollution vulnerability
form-data 2.5.51 ثغرةتم الإصلاح في 2.5.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
form-data 4.0.51 ثغرةتم الإصلاح في 4.0.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
qs 6.7.04 ثغراتتم الإصلاح في 6.16.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hrpp-h998-j3ppqs vulnerable to Prototype Pollution
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.5.23 ثغراتتم الإصلاح في 6.16.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-hrpp-h998-j3ppqs vulnerable to Prototype Pollution
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
sqlite3 5.1.21 ثغرةتم الإصلاح في 5.1.5قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-jqv5-7xpx-qj74sqlite vulnerable to code execution due to Object coercion
lodash.pick 4.4.01 ثغرةقد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-p6mc-m468-83gwPrototype Pollution in lodash
@grpc/grpc-js 0.8.16 ثغراتتم الإصلاح في 1.13.6قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-pp75-xfpw-37g9Prototype pollution in grpc and @grpc/grpc-js
- GHSA-5375-pq7m-f5r2@grpc/grpc-js: A malformed request can cause a server crash
- GHSA-99f4-grh7-6pcq@grpc/grpc-js: An incoming malformed compressed message can cause a client or server crash
- GHSA-m9gg-hp2v-232j@grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized
- GHSA-7v5v-9h63-cj86@grpc/grpc-js can allocate memory for incoming messages well above configured limits
- GHSA-f596-whhp-79r4@grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages
devalue 2.0.110 ثغراتتم الإصلاح في 5.9.3قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-vj54-72f3-p5jvdevalue prototype pollution vulnerability
- GHSA-4q55-j62x-fr9hdevalue: Malformed null-prototype object keys bypass __proto__ rejection via property-key coercion
- GHSA-cfw5-2vxh-hr84devalue has prototype pollution in devalue.parse and devalue.unflatten
- GHSA-8qm3-746x-r74rdevalue `uneval`ed code can create objects with polluted prototypes when `eval`ed
- GHSA-mcm9-63f2-9j32devalue: Repeated primitive strings cause quadratic expansion in uneval
- GHSA-r9w8-h9r3-54w4devalue: Custom ArrayBuffer revivers can bypass typed-array allocation validation
- GHSA-9rgm-9g3h-6x36Svelte devalue: DoS via malformed input
- GHSA-hx4r-w6wj-j8fgdevalue: Residual sparse-array CPU amplification in uneval
- GHSA-33hq-fvwr-56pmdevalue affected by CPU and memory amplification from sparse arrays
- GHSA-wf3x-273g-mvxvdevalue: Sparse arrays emitted by uneval cause eager allocation when evaluated
json5 1.0.11 ثغرةتم الإصلاح في 1.0.2قد يغيّر أحدهم بيانات أو ملفات. بحساب فقط.
- GHSA-9c47-m6qq-7p4hPrototype Pollution in JSON5 via Parse Method
jsonpointer 4.1.01 ثغرةتم الإصلاح في 5.0.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-282f-qqgm-c34qPrototype Pollution in node-jsonpointer
picomatch 4.0.12 ثغراتتم الإصلاح في 4.0.4قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
mdast-util-to-hast 13.2.01 ثغرةتم الإصلاح في 13.2.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-4fh9-h7wg-q85mmdast-util-to-hast has unsanitized class attribute
mongoose 8.23.01 ثغرةتم الإصلاح في 8.24.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-664h-wqgq-64gwMongoose: Prototype pollution in mongoose update casting via __proto__-prefixed dotted path (Schema._getSchema/path getter)
tough-cookie 2.5.01 ثغرةتم الإصلاح في 4.1.3قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-72xf-g2v4-qvf3tough-cookie Prototype Pollution vulnerability
tough-cookie 4.1.21 ثغرةتم الإصلاح في 4.1.3قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-72xf-g2v4-qvf3tough-cookie Prototype Pollution vulnerability
xml2js 0.2.81 ثغرةتم الإصلاح في 0.5.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
xml2js 0.4.191 ثغرةتم الإصلاح في 0.5.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
xml2js 0.4.231 ثغرةتم الإصلاح في 0.5.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
msgpack5 4.5.17 ثغراتتم الإصلاح في 6.1.0قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-8hq7-ggx2-cc6mmsgpack5: Partial options disable prototype protection
- GHSA-qw35-55vc-rhgjmsgpack5: Decoding negative int64 values mutates the input buffer
- GHSA-5x5g-h9x8-2fh9msgpack5: Many buffered values can exhaust the streaming decoder stack
- GHSA-8f34-f56x-9xphmsgpack5: Truncated map32 headers throw an unexpected error
- GHSA-24ch-f2g6-9hhhmsgpack5: Deeply nested input can exhaust the decoder stack
- GHSA-26wq-p25c-j6fvmsgpack5: Reserved byte can cause unbounded stream buffering
- GHSA-gcx5-hxj7-gpqqmsgpack5: Quadratic parsing in the streaming decoder
dompurify 3.1.523 ثغراتقد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-cj63-jhhr-wcxvDOMPurify USE_PROFILES prototype pollution allows event handlers
- GHSA-r47g-fvhr-h676DOMPurify: IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM
- GHSA-v9jr-rg53-9pgpDOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING Fallback
- GHSA-cmwh-pvxp-8882DOMPurify: Permanent `ALLOWED_ATTR` pollution via `setConfig()` bypassing the hook clone-guard (incomplete fix of the 3.4.7 hook-pollution patch)
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-crv5-9vww-q3g8DOMPurify has a SAFE_FOR_TEMPLATES bypass in RETURN_DOM mode
- GHSA-h7mw-gpvr-xq4mDOMPurify: FORBID_TAGS bypassed by function-based ADD_TAGS predicate (asymmetry with FORBID_ATTR fix)
- GHSA-h8r8-wccr-v5f2DOMPurify is vulnerable to mutation-XSS via Re-Contextualization
- GHSA-hpcv-96wg-7vj8DOMPurify: Cross-realm IN_PLACE sanitization leaves executable markup intact via realm-bound `instanceof` checks
- GHSA-rp9w-3fw7-7cwqDOMPurify IN_PLACE Sanitization Bypass via Attached Shadow Root Inside <template>.content
- GHSA-v2wj-7wpq-c8vvDOMPurify contains a Cross-site Scripting vulnerability
- GHSA-v8jm-5vwx-cfxmDOMPurify contains a Cross-site Scripting vulnerability
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-vhxf-7vqr-mrjgDOMPurify allows Cross-site Scripting (XSS)
- GHSA-c2j3-45gr-mqc4DOMPurify: `CUSTOM_ELEMENT_HANDLING` bypasses `afterSanitizeElements` for allowed custom elements.
- GHSA-gvmj-g25r-r7wrDOMPurify: SAFE_FOR_TEMPLATES bypass - template expressions survive sanitization inside <template> content when using DOM output modes
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
- GHSA-x4vx-rjvf-j5p4DOMPurify: `IN_PLACE` mode trusts attacker-controlled `nodeName` on live non-form nodes, allowing script retention and XSS via attacker-supplied DOM objects
- GHSA-39q2-94rc-95cpDOMPurify's ADD_TAGS function form bypasses FORBID_TAGS due to short-circuit evaluation
- GHSA-76mc-f452-cxcmDOMPurify: Hook mutation of `data.allowedTags` / `data.allowedAttributes` permanently pollutes `DEFAULT_ALLOWED_TAGS` / `DEFAULT_ALLOWED_ATTR`
- GHSA-cjmm-f4jc-qw8rDOMPurify ADD_ATTR predicate skips URI validation
- GHSA-vxr8-fq34-vvx9DOMPurify: Trusted Types policy survives `clearConfig()` and can poison later `RETURN_TRUSTED_TYPE` output
ejs 3.1.81 ثغرةتم الإصلاح في 3.1.10قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-ghr5-ch3p-vcr6ejs lacks certain pollution protection
protocol-buffers-schema 3.6.01 ثغرةتم الإصلاح في 3.6.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-j452-xhg8-qg39Mafintosh's protocol-buffers-schema is vulnerable to prototype pollution
js-yaml 4.1.05 ثغراتتم الإصلاح في 4.3.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
undici 6.24.111 ثغراتتم الإصلاح في 6.29.1قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-rfgv-xxqx-mfg5undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
joi 17.13.35 ثغراتتم الإصلاح في 17.13.8قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
- GHSA-q7cg-457f-vx79joi has an uncaught RangeError on deeply nested input through recursive `link()` schemas
yargs-parser 15.0.01 ثغرةتم الإصلاح في 15.0.1قد يغيّر أحدهم بيانات أو ملفات. بالوصول إلى الجهاز فقط.
- GHSA-p9pc-299p-vxgpyargs-parser Vulnerable to Prototype Pollution
katex 0.16.102 ثغراتتم الإصلاح في 0.18.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
- GHSA-cg87-wmx4-v546KaTeX \htmlData does not validate attribute names
svgo 3.3.24 ثغراتتم الإصلاح في 3.3.5قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-2p49-hgcm-8545SVGO removeScripts plugin leaves some executable scripts intact
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
- GHSA-xpqw-6gx7-v673SVGO DoS through entity expansion in DOCTYPE (Billion Laughs)
svgo 1.3.23 ثغراتتم الإصلاح في 2.8.4قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-2p49-hgcm-8545SVGO removeScripts plugin leaves some executable scripts intact
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
vega 5.33.01 ثغرةتم الإصلاح في 6.2.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-expression 5.1.21 ثغرةتم الإصلاح في 5.2.1قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-expression 5.2.01 ثغرةتم الإصلاح في 5.2.1قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-selections 5.6.01 ثغرةتم الإصلاح في 5.6.3قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-829q-m3qg-ph8rVega XSS via expression abusing vlSelectionTuples function array map calls in environments with satisfactory function gadgets in the global scope
@vue/server-renderer 3.5.171 ثغرةتم الإصلاح في 3.5.42قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-g2v6-rqmx-r4w6@vue/server-renderer: XSS via missing CR in attribute-name blacklist
vega-functions 5.18.01 ثغرةتم الإصلاح في 6.1.1قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-m9rg-mr6g-75gm`vega-functions` vulnerable to Cross-site Scripting via `setdata` function
express 4.17.02 ثغراتتم الإصلاح في 4.20.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-rv95-896h-c2vcExpress.js Open Redirect in malformed URLs
- GHSA-qw6h-vgh9-j6wxexpress vulnerable to XSS via response.redirect()
firebase 7.14.51 ثغرةتم الإصلاح في 10.9.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. بحساب فقط.
- GHSA-3wf4-68gx-mph8Firebase JavaScript SDK allows attackers to manipulate the "_authTokenSyncURL" to point to their own server
firebase 7.24.01 ثغرةتم الإصلاح في 10.9.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. بحساب فقط.
- GHSA-3wf4-68gx-mph8Firebase JavaScript SDK allows attackers to manipulate the "_authTokenSyncURL" to point to their own server
serve-static 1.14.11 ثغرةتم الإصلاح في 1.16.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-cm22-4g7w-348pserve-static vulnerable to template injection that can lead to XSS
send 0.17.11 ثغرةتم الإصلاح في 0.19.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-m6fv-jmcg-4jfgsend vulnerable to template injection that can lead to XSS
send 0.18.01 ثغرةتم الإصلاح في 0.19.0قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- GHSA-m6fv-jmcg-4jfgsend vulnerable to template injection that can lead to XSS
minimatch 5.1.03 ثغراتتم الإصلاح في 5.1.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
minimatch 5.1.63 ثغراتتم الإصلاح في 5.1.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
body-parser 1.19.03 ثغراتتم الإصلاح في 1.20.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-qwcr-r2fm-qrc7body-parser vulnerable to denial of service when url encoding is enabled
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 2.2.03 ثغراتتم الإصلاح في 2.4.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-wqch-xfxh-vrr4body-parser is vulnerable to denial of service when url encoding is used
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 1.20.32 ثغراتتم الإصلاح في 1.20.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 1.20.42 ثغراتتم الإصلاح في 1.20.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
path-to-regexp 0.1.72 ثغراتتم الإصلاح في 0.1.13قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-37ch-88jc-xwx2path-to-regexp vulnerable to Regular Expression Denial of Service via multiple route parameters
- GHSA-rhx6-c78j-4q9wpath-to-regexp contains a ReDoS
path-to-regexp 0.1.121 ثغرةتم الإصلاح في 0.1.13قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-37ch-88jc-xwx2path-to-regexp vulnerable to Regular Expression Denial of Service via multiple route parameters
ws 3.3.32 ثغراتتم الإصلاح في 5.2.5قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 6.2.22 ثغراتتم الإصلاح في 6.2.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 7.4.62 ثغراتتم الإصلاح في 7.5.11قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 7.5.92 ثغراتتم الإصلاح في 7.5.11قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
brace-expansion 5.0.66 ثغراتتم الإصلاح في 5.0.12قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
loader-utils 3.1.32 ثغراتتم الإصلاح في 3.2.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3rfm-jhwj-7488loader-utils is vulnerable to Regular Expression Denial of Service (ReDoS) via url variable
- GHSA-hhq3-ff78-jv3gloader-utils is vulnerable to Regular Expression Denial of Service (ReDoS)
cross-spawn 6.0.51 ثغرةتم الإصلاح في 6.0.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
@grpc/grpc-js 1.14.34 ثغراتتم الإصلاح في 1.14.5قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-5375-pq7m-f5r2@grpc/grpc-js: A malformed request can cause a server crash
- GHSA-99f4-grh7-6pcq@grpc/grpc-js: An incoming malformed compressed message can cause a client or server crash
- GHSA-m9gg-hp2v-232j@grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized
- GHSA-f596-whhp-79r4@grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages
image-size 1.2.12 ثغراتتم الإصلاح في 2.0.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
trim-newlines 3.0.01 ثغرةتم الإصلاح في 3.0.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-7p7h-4mm5-852vUncontrolled Resource Consumption in trim-newlines
is-svg 3.0.02 ثغراتتم الإصلاح في 4.3.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-7r28-3m3f-r2prRegular Expression Denial of Service (ReDoS)
- GHSA-r8j5-h5cx-65ggReDOS in IS-SVG
ansi-regex 4.1.01 ثغرةتم الإصلاح في 4.1.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-93q8-gq69-wqmwInefficient Regular Expression Complexity in chalk/ansi-regex
path-to-regexp 6.1.01 ثغرةتم الإصلاح في 6.3.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-9wv6-86v2-598jpath-to-regexp outputs backtracking regular expressions
semver 5.7.11 ثغرةتم الإصلاح في 5.7.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
semver 7.3.21 ثغرةتم الإصلاح في 7.5.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
semver 7.3.71 ثغرةتم الإصلاح في 7.5.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
uglify-js 2.4.241 ثغرةتم الإصلاح في 2.6.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-c9f4-xj24-8jqxRegular Expression Denial of Service in uglify-js
websocket-extensions 0.1.31 ثغرةتم الإصلاح في 0.1.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-g78m-2chm-r7qvRegular Expression Denial of Service in websocket-extensions (NPM package)
braces 2.3.21 ثغرةتم الإصلاح في 3.0.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-grv7-fg5c-xmjgUncontrolled resource consumption in braces
braces 3.0.21 ثغرةتم الإصلاح في 3.0.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-grv7-fg5c-xmjgUncontrolled resource consumption in braces
path-to-regexp 8.3.02 ثغراتتم الإصلاح في 8.4.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-j3q9-mxjg-w52fpath-to-regexp vulnerable to Denial of Service via sequential optional groups
- GHSA-27v5-c462-wpq7path-to-regexp vulnerable to Regular Expression Denial of Service via multiple wildcards
zod 3.24.41 ثغرةتم الإصلاح في 4.6.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
zod 3.25.671 ثغرةتم الإصلاح في 4.6.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
css-what 1.0.01 ثغرةتم الإصلاح في 2.1.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-p28h-cc7q-c4fgcss-what vulnerable to ReDoS due to use of insecure regular expression
octokit 3.1.01 ثغرةتم الإصلاح في 3.1.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-pwfr-8pq7-x9qvUnauthenticated Denial of Service in the octokit/webhooks library
normalize-url 4.5.01 ثغرةتم الإصلاح في 4.5.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-px4h-xg32-q955ReDoS in normalize-url
underscore 1.13.61 ثغرةتم الإصلاح في 1.13.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-qpx9-hpmf-5gmwUnderscore has unlimited recursion in _.flatten and _.isEqual, potential for DoS attack
nth-check 1.0.21 ثغرةتم الإصلاح في 2.0.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
turbo-stream 2.4.01 ثغرةتم الإصلاح في 3.0.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rxv8-25v2-qmq8React Router vulnerable to Denial of Service via reflected user input in single-fetch
compression 1.7.41 ثغرةتم الإصلاح في 1.8.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-vc2v-76pw-4v95compression vulnerable to Denial of Service via memory leak on premature response close
decode-uri-component 0.2.02 ثغراتتم الإصلاح في 0.5.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w573-4hg7-7wgqdecode-uri-component vulnerable to Denial of Service (DoS)
- GHSA-vcc3-ghjq-m6frdecode-uri-component: Denial of service via exponential decoding of malformed percent-encoded input
dd-trace 4.12.01 ثغرةتم الإصلاح في 5.100.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-wxqq-gcq8-c443dd-trace-js: Improper parsing of W3C baggage headers may lead to DoS
@fastify/busboy 3.2.03 ثغراتتم الإصلاح في 3.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-xjh9-v7x6-24jw@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
@fastify/busboy 2.0.02 ثغراتتم الإصلاح في 3.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
ajv 8.16.01 ثغرةتم الإصلاح في 8.18.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
colord 2.9.31 ثغرةتم الإصلاح في 2.9.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
bn.js 4.11.91 ثغرةتم الإصلاح في 4.12.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 4.12.01 ثغرةتم الإصلاح في 4.12.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 5.1.21 ثغرةتم الإصلاح في 5.2.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 5.2.11 ثغرةتم الإصلاح في 5.2.3قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
hosted-git-info 2.8.51 ثغرةتم الإصلاح في 2.8.9قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-43f8-2h32-f4cjRegular Expression Denial of Service in hosted-git-info
qs 6.13.04 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.14.04 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.11.03 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.14.23 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
qs 6.15.03 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
qs 6.5.32 ثغراتتم الإصلاح في 6.16.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
file-type 16.5.41 ثغرةتم الإصلاح في 21.3.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-5v7r-6r5c-r473file-type affected by infinite loop in ASF parser on malformed input with zero-size sub-header
parseuri 0.0.61 ثغرةقد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-6fx8-h7jm-663jparse-uri Regular expression Denial of Service (ReDoS)
@opentelemetry/core 1.15.21 ثغرةتم الإصلاح في 2.8.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-8988-4f7v-96qfOpenTelemetry Core: Unbounded memory allocation in W3C Baggage propagation
@opentelemetry/core 1.30.11 ثغرةتم الإصلاح في 2.8.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-8988-4f7v-96qfOpenTelemetry Core: Unbounded memory allocation in W3C Baggage propagation
micromatch 3.1.101 ثغرةتم الإصلاح في 4.0.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
micromatch 4.0.41 ثغرةتم الإصلاح في 4.0.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
micromatch 4.0.51 ثغرةتم الإصلاح في 4.0.8قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
@firebase/util 0.2.471 ثغرةتم الإصلاح في 0.3.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-fpm5-vv97-jfwgUncontrolled Resource Consumption in firebase
@firebase/util 0.3.21 ثغرةتم الإصلاح في 0.3.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-fpm5-vv97-jfwgUncontrolled Resource Consumption in firebase
cookiejar 2.1.21 ثغرةتم الإصلاح في 2.1.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h452-7996-h45hcookiejar Regular Expression Denial of Service via Cookie.parse function
cookiejar 2.1.31 ثغرةتم الإصلاح في 2.1.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h452-7996-h45hcookiejar Regular Expression Denial of Service via Cookie.parse function
@octokit/plugin-paginate-rest 8.0.01 ثغرةتم الإصلاح في 9.2.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
fast-copy 3.0.21 ثغرةتم الإصلاح في 3.1.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-jggr-w7fw-pc2jfast-copy: Stack exhaustion in fast-copy when copying deeply-nested values
fflate 0.7.41 ثغرةتم الإصلاح في 0.7.5قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-px8p-9vwx-vf98fflate unzipSync can enter an infinite loop when parsing malformed ZIP64 archives
postcss-selector-parser 6.1.22 ثغراتتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
- GHSA-w9m9-85wc-3x92postcss-selector-parser allows denial of service through uncontrolled AST recursion
postcss-selector-parser 7.1.02 ثغراتتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
- GHSA-w9m9-85wc-3x92postcss-selector-parser allows denial of service through uncontrolled AST recursion
postcss-selector-parser 3.1.11 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 5.0.01 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 6.0.101 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 6.0.111 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 7.0.01 ثغرةتم الإصلاح في 7.1.6قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
@octokit/request 8.1.11 ثغرةتم الإصلاح في 8.4.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
baseline-browser-mapping 2.9.171 ثغرةتم الإصلاح في 2.11.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
baseline-browser-mapping 2.10.81 ثغرةتم الإصلاح في 2.11.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
@octokit/request-error 5.0.01 ثغرةتم الإصلاح في 5.1.1قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
yaml 2.3.41 ثغرةتم الإصلاح في 2.8.3قد يجعله أحدهم يتعطل أو يتجمد. بحساب فقط.
- GHSA-48c2-rrv3-qjmpyaml is vulnerable to Stack Overflow via deeply nested YAML collections
engine.io 3.6.01 ثغرةتم الإصلاح في 3.6.1قد يجعله أحدهم يتعطل أو يتجمد. بحساب فقط.
- GHSA-r7qp-cfhv-p84wUncaught exception in engine.io
diff 4.0.21 ثغرةتم الإصلاح في 4.0.4قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-73rr-hh4g-fpgxjsdiff has a Denial of Service vulnerability in parsePatch and applyPatch
@ai-sdk/provider-utils 2.2.81 ثغرةتم الإصلاح في 3.0.28قد يجعله أحدهم يتعطل أو يتجمد. بحساب فقط.
- GHSA-866g-f22w-33x8@ai-sdk/provider-utils has an Uncontrolled Resource Consumption issue
@ai-sdk/provider-utils 3.0.211 ثغرةتم الإصلاح في 3.0.28قد يجعله أحدهم يتعطل أو يتجمد. بحساب فقط.
- GHSA-866g-f22w-33x8@ai-sdk/provider-utils has an Uncontrolled Resource Consumption issue
es5-ext 0.10.531 ثغرةتم الإصلاح في 0.10.63قد يجعله أحدهم يتعطل أو يتجمد.
- GHSA-4gmj-3p3h-gm8hes5-ext vulnerable to Regular Expression Denial of Service in `function#copy` and `function#toStringTokens`
es5-ext 0.10.621 ثغرةتم الإصلاح في 0.10.63قد يجعله أحدهم يتعطل أو يتجمد.
- GHSA-4gmj-3p3h-gm8hes5-ext vulnerable to Regular Expression Denial of Service in `function#copy` and `function#toStringTokens`
jws 3.2.21 ثغرةتم الإصلاح في 3.2.3إحدى الحمايات أضعف مما ينبغي. من أي مكان على الإنترنت، دون حساب.
- GHSA-869p-cjfg-cm3xauth0/node-jws Improperly Verifies HMAC Signature
browserify-sign 4.2.01 ثغرةتم الإصلاح في 4.2.2إحدى الحمايات أضعف مما ينبغي. من أي مكان على الإنترنت، دون حساب.
- GHSA-x9w5-v3q2-3rhwbrowserify-sign upper bound check issue in `dsaVerify` leads to a signature forgery attack
browserify-sign 4.2.11 ثغرةتم الإصلاح في 4.2.2إحدى الحمايات أضعف مما ينبغي. من أي مكان على الإنترنت، دون حساب.
- GHSA-x9w5-v3q2-3rhwbrowserify-sign upper bound check issue in `dsaVerify` leads to a signature forgery attack
socket.io 2.5.01 ثغرةتم الإصلاح في 2.5.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-25hc-qcg6-38wjsocket.io has an unhandled 'error' event
http-proxy-middleware 2.0.73 ثغراتتم الإصلاح في 2.0.10ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-4www-5p9h-95mhhttp-proxy-middleware can call writeBody twice because "else if" is not used
- GHSA-64mm-vxmg-q3vjhttp-proxy-middleware `router` host+path substring matching allows Host-header-driven backend routing bypass
- GHSA-9gqv-wp59-fq42http-proxy-middleware allows fixRequestBody to proceed even if bodyParser has failed
fast-xml-parser 5.5.71 ثغرةتم الإصلاح في 5.7.0ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-gh4j-gqv2-49f6fast-xml-parser XMLBuilder: XML Comment and CDATA Injection via Unescaped Delimiters
got 3.3.11 ثغرةتم الإصلاح في 11.8.5ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
got 8.3.21 ثغرةتم الإصلاح في 11.8.5ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
got 9.6.01 ثغرةتم الإصلاح في 11.8.5ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
@protobufjs/utf8 1.1.01 ثغرةتم الإصلاح في 1.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
uuid 2.0.31 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 3.3.31 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 3.4.01 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 7.0.31 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 8.0.01 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 9.0.11 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 10.0.01 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 11.1.01 ثغرةتم الإصلاح في 11.1.1ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
@smithy/config-resolver 4.1.41 ثغرةتم الإصلاح في 4.4.0ثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-6475-r3vj-m8vfAWS SDK for JavaScript v3 adopted defense in depth enhancement for region parameter value
aws-sdk 2.1240.01 ثغرةثغرة لم يُوضَّح أثرها. من أي مكان على الإنترنت، دون حساب.
- GHSA-j965-2qgj-vjmqJavaScript SDK v2 users should add validation to the region parameter value in or migrate to v3
on-headers 1.0.21 ثغرةتم الإصلاح في 1.1.0ثغرة لم يُوضَّح أثرها. بالوصول إلى الجهاز فقط.
- GHSA-76c9-3jph-rj3qon-headers is vulnerable to http response header manipulation
@tootallnate/once 1.1.21 ثغرةتم الإصلاح في 2.0.1ثغرة لم يُوضَّح أثرها. بالوصول إلى الجهاز فقط.
- GHSA-vpq2-c234-7xj6@tootallnate/once vulnerable to Incorrect Control Flow Scoping
@tootallnate/once 2.0.01 ثغرةتم الإصلاح في 2.0.1ثغرة لم يُوضَّح أثرها. بالوصول إلى الجهاز فقط.
- GHSA-vpq2-c234-7xj6@tootallnate/once vulnerable to Incorrect Control Flow Scoping
cookie 0.4.01 ثغرةتم الإصلاح في 0.7.0ثغرة لم يُوضَّح أثرها.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.4.11 ثغرةتم الإصلاح في 0.7.0ثغرة لم يُوضَّح أثرها.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.4.21 ثغرةتم الإصلاح في 0.7.0ثغرة لم يُوضَّح أثرها.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.5.01 ثغرةتم الإصلاح في 0.7.0ثغرة لم يُوضَّح أثرها.
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
راسلني بالبريد عندما يتغيّر هذا
رسالة واحدة للتأكيد، ثم رسالة فقط عندما تسوء الإجابة أو تظهر ثغرة خطيرة جديدة: رسالة واحدة في اليوم على الأكثر، وفورًا إن كان المهاجمون يستخدمونها. نقرة واحدة لإلغاء الاشتراك.
ضع الشارة في README الخاص بك
تعرض هذه الإجابة وتتغير معها.
[](https://istheinternetok.com/r/vercel/next.js/)تمت القراءة من .github/pnpm-lock.yaml, Cargo.lock, examples/with-docker-export-output/pnpm-lock.yaml, examples/with-docker/pnpm-lock.yaml, pnpm-lock.yaml, rspack/Cargo.lock, rspack/crates/binding/pnpm-lock.yaml, rspack/pnpm-lock.yaml, scripts/send-trace-to-jaeger/Cargo.lock, test/e2e/swc-plugins-env/plugin/Cargo.lock, turbopack/benchmark-apps/pnpm-lock.yaml, turbopack/crates/turbopack-tracing/tests/node-file-trace/pnpm-lock.yaml, turbopack/crates/turbopack-tracing/tests/node-file-trace/test/unit/pnpm-symlinks/pnpm-lock.yaml.