vercel/next.js は無事？
まあまあ。
リリースしているものに重大な欠陥があります。
内部：テストやツールに欠陥 991 件。どれもユーザーには届きません。17:05 UTCに確認コミット cbf49dbアドバイザリ：09:13 UTC時点
更新すべきもの 23 件
- next を 16.4.1 に更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
next 16.4.0-canary.31欠陥 3 件16.4.1 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
immutable 4.1.0欠陥 3 件4.3.9 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-wf6x-7x77-mvgwImmutable is vulnerable to Prototype Pollution
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
さらに 1 件を表示
source-map-js 1.0.2欠陥 1 件1.2.2 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- rspack_binding_builder を更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
wasmtime 35.0.0欠陥 22 件36.0.19 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xx5w-cvp6-jv83Wasmtime with Winch compiler backend on aarch64 may allow a sandbox-escaping memory access
- GHSA-897f-g5gm-fmxmWasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation
- GHSA-jhxm-h53p-jm7wWasmtime: Miscompiled guest heap access enables sandbox escape on aarch64 Cranelift
- RUSTSEC-2026-0269Filesystem sandbox escape when paths or symlinks contain trailing slashes
- RUSTSEC-2026-0379Cranelift backend on aarch64 can jump to incorrect target on large Wasm `br_table` instruction
- GHSA-m9w2-8782-2946Wasmtime has host data leakage with 64-bit tables and Winch
- GHSA-243v-98vx-264hWasmtime can panic when adding excessive fields to a `wasi:http/types.fields` instance
- GHSA-394w-hwhg-8vgmWasmtime has out-of-bounds write or crash when transcoding component model strings
- GHSA-852m-cvvp-9p4wWasmtime WASI implementations are vulnerable to guest-controlled resource exhaustion
- GHSA-f984-pcp8-v2p7Wasmtime has improperly masked return value from `table.grow` with Winch compiler backend
- GHSA-hx6p-xpx3-jvvvWasmtime: Heap OOB read in component model UTF-16 to latin1+utf16 string transcoding
- GHSA-jxhv-7h78-9775Wasmtime: Panic when transcoding misaligned utf-16 strings
- GHSA-m758-wjhj-p3jqWasmtime has a possible panic when lifting `flags` component value
- GHSA-p8xm-42r7-89xgwasmtime has a panic when allocating a table exceeding the size of the host's address space
- GHSA-q49f-xg75-m9xwWasmtime has host panic when Winch compiler executes `table.fill`
- GHSA-qqfj-4vcm-26hvWasmtime segfault or unused out-of-sandbox load with `f64x2.splat` operator on x86-64
- GHSA-vc8c-j3xm-xj73Wasmtime segfault or unused out-of-sandbox load with f64.copysign operator on x86-64
- RUSTSEC-2026-0363Component-model handle tables are capped only per instance and charged to no limit
- GHSA-6wgr-89rj-399pWasmtime has data leakage between pooling allocator instances
- GHSA-hc7m-r6v8-hg9qWasmtime provides unsound API access to a WebAssembly shared linear memory
- RUSTSEC-2026-0222Stores can mix up type indices between engines
- RUSTSEC-2026-0316Dynamic record lifting can allocate beyond the hostcall fuel limit
- @datadog/datadog-api-client を更新誰かがデータやファイルを書き換えられるおそれがあります。
form-data 4.0.0欠陥 2 件4.0.6 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
- @mdx-js/loader を更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
serialize-javascript 6.0.2欠陥 3 件7.1.3 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
fast-uri 3.0.2欠陥 12 件3.1.9 で修正
見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
- jscodeshift を更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
@babel/plugin-transform-modules-systemjs 7.25.9欠陥 1 件7.29.4 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-fv7c-fp4j-7gwp@babel/plugin-transform-modules-systemjs generates arbitrary code when compiling malicious input
- reqwest を更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
openssl 0.10.38欠陥 13 件0.10.79 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-6hcf-g6gr-hhcr`openssl` `X509Extension::new` and `X509Extension::new_nid` null pointer dereference
- GHSA-9qwg-crg9-m2vc`openssl` `SubjectAlternativeName` and `ExtendedKeyUsage::other` allow arbitrary file read
- GHSA-q445-7m23-qrmwopenssl's `MemBio::get_buf` has undefined behavior with empty buffers
- GHSA-rpmj-rpgj-qmpmrust-openssl ssl::select_next_proto use after free
- GHSA-xcf7-rvmh-g6q4`openssl` `X509VerifyParamRef::set_host` buffer over-read
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-3gxf-9r58-2ghg`openssl` `X509NameBuilder::build` returned object is not thread safe
- GHSA-xphf-cx8h-7q9g`openssl` `X509StoreRef::objects` is unsound
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
openssl 0.10.75欠陥 8 件0.10.80 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-ghm9-cr32-g9qjrust-openssl: rustMdCtxRef::digest_final() writes past caller buffer with no length check
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-phqj-4mhp-q6mqrust-openssl: Potential out-of-bounds write in `CipherCtxRef::cipher_update_inplace` for AES-KW-PAD ciphers
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
さらに 5 件を表示
tokio 1.13.0欠陥 5 件1.51.6 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-fg7r-2g4j-5cgrRace Condition in tokio
- GHSA-7rrj-xr53-82p7Tokio reject_remote_clients configuration may get dropped when creating a Windows named pipe
- GHSA-rr8g-9fpq-6wmgTokio broadcast channel calls clone in parallel, but does not require `Sync`
- GHSA-4q83-7cq4-p6wg`tokio::io::ReadHalf<T>::unsplit` is Unsound
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
aws-lc-sys 0.30.0欠陥 4 件0.39.0 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-65p9-r9h6-22vjAWS-LC has Timing Side-Channel in AES-CCM Tag Verification
- GHSA-9f94-5g5w-gf6rCRL Distribution Point Scope Check Logic Error in AWS-LC
- GHSA-hfpc-8r3f-gw53AWS-LC has PKCS7_verify Signature Validation Bypass
- GHSA-vw5v-4f2q-w9xfAWS-LC has PKCS7_verify Certificate Chain Validation Bypass
mio 0.7.14欠陥 1 件0.8.11 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r8w9-5wcg-vfj7Mio's tokens for named pipes may be delivered after deregistration
rustls-webpki 0.103.4欠陥 5 件0.103.16 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 アカウントがある場合のみ。
- GHSA-pwjx-qhcg-rvj4webpki: CRLs not considered authoritative by Distribution Point due to faulty matching logic
- GHSA-82j2-j2ch-gfr8rustls-webpki: Denial of service via panic on malformed CRL BIT STRING
- GHSA-965h-392x-2mh5webpki: Name constraints for URI names were incorrectly accepted
- GHSA-xgp8-3hg3-c2mhwebpki: Name constraints were accepted for certificates asserting a wildcard name
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
quinn-proto 0.11.13欠陥 6 件0.11.18 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4w2j-m93h-cj5jQuinn: Remote memory exhaustion in quinn-proto from unbounded out-of-order stream reassembly
- GHSA-6xvm-j4wr-6v98Quinn affected by unauthenticated remote DoS via panic in QUIC transport parameter parsing
- RUSTSEC-2026-0340Peer minimum ACK delay can panic quinn-proto when ACK_FREQUENCY transmission is enabled
- RUSTSEC-2026-0338Remote peer can panic quinn-proto with zero-length STREAM frames during unordered reads
- RUSTSEC-2026-0339Unbounded growth of pending connection ID retirements in quinn-proto
- RUSTSEC-2026-0342Zero-length DATAGRAM frames bypass the receive buffer limit in quinn-proto
- sharp を 0.35.5 に更新動いている場所で、誰かが自分のコードを実行できるおそれがあります。
sharp 0.35.4欠陥 1 件0.35.5 で修正
動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- inquirer を更新見るべきでないデータを誰かが読めるおそれがあります。
tmp 0.0.33欠陥 2 件0.2.6 で修正
見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ph9p-34f9-6g65tmp has Path Traversal via unsanitized prefix/postfix that enables directory escape
- GHSA-52f5-9888-hmc6tmp allows arbitrary temporary file / directory write via symbolic link `dir` parameter
- @eslint-community/eslint-utils を更新誰かがデータやファイルを書き換えられるおそれがあります。
flatted 3.3.1欠陥 2 件3.4.2 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rf6f-7fwh-wjghPrototype Pollution via parse() in NodeJS flatted
- GHSA-25h7-pfq9-p65fflatted vulnerable to unbounded recursion DoS in parse() revive phase
minimatch 3.1.2欠陥 3 件3.1.4 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
さらに 1 件を表示
brace-expansion 1.1.11欠陥 8 件1.1.21 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
- browserslist を 4.28.7 に更新誰かがデータやファイルを書き換えられるおそれがあります。
browserslist 4.28.1欠陥 2 件4.28.7 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
- @actions/core を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
undici 5.28.4欠陥 15 件6.28.1 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
@fastify/busboy 2.1.1欠陥 2 件3.2.2 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
- autoprefixer を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
nanoid 3.3.16欠陥 1 件3.3.18 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
source-map-js 1.2.1欠陥 1 件1.2.2 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
- cheerio を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
css-what 5.0.0欠陥 1 件5.0.1 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-q8pj-2vqx-8ggcDenial of service in css-what
nth-check 2.0.0欠陥 1 件2.0.1 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
- cross-spawn を 7.0.5 に更新誰かがクラッシュやフリーズを起こせるおそれがあります。
cross-spawn 7.0.3欠陥 1 件7.0.5 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
- eslint-import-resolver-typescript を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
picomatch 4.0.3欠陥 2 件4.0.4 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
minimatch 9.0.5欠陥 3 件9.0.7 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
さらに 2 件を表示
brace-expansion 2.0.1欠陥 8 件2.1.7 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 5.0.4欠陥 8 件5.0.12 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-jxxr-4gwj-5jf2brace-expansion: Large numeric range defeats documented `max` DoS protection
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- fast-glob を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
picomatch 2.3.1欠陥 2 件2.3.2 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
- gray-matter を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
js-yaml 3.14.1欠陥 5 件3.15.2 で修正
誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
- hyper-tungstenite を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
tungstenite 0.18.0欠陥 1 件0.20.1 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-9mcr-873m-xcxpTungstenite allows remote attackers to cause a denial of service
- js-yaml を 4.3.2 に更新誰かがクラッシュやフリーズを起こせるおそれがあります。
js-yaml 4.2.0欠陥 3 件4.3.2 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- minimatch を 3.1.4 に更新誰かがクラッシュやフリーズを起こせるおそれがあります。
minimatch 3.0.4欠陥 4 件3.1.4 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
- GHSA-f8q6-p94x-37v3minimatch ReDoS vulnerability
brace-expansion 2.1.0欠陥 6 件2.1.7 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- remark-parse を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
trim 0.0.1欠陥 1 件0.0.3 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w5p7-h5w8-2hfqRegular Expression Denial of Service in trim
- webpack-bundle-analyzer を更新誰かがクラッシュやフリーズを起こせるおそれがあります。
ws 7.5.3欠陥 2 件7.5.11 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
- zod を 4.6.6 に更新誰かがクラッシュやフリーズを起こせるおそれがあります。
zod 3.25.76欠陥 1 件4.6.6 で修正
誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
ユーザーに関わるもの
プロジェクトがリリースしているものに欠陥 238 件。深刻なものから順に。
ユーザーのデータが漏れたり、乗っ取られたりするおそれ
next 16.4.0-canary.31欠陥 3 件16.4.1 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
wasmtime 35.0.0欠陥 22 件36.0.19 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xx5w-cvp6-jv83Wasmtime with Winch compiler backend on aarch64 may allow a sandbox-escaping memory access
- GHSA-897f-g5gm-fmxmWasmtime: Bit-packing in Cranelift compiler causes silent overflow and miscompilation
- GHSA-jhxm-h53p-jm7wWasmtime: Miscompiled guest heap access enables sandbox escape on aarch64 Cranelift
- RUSTSEC-2026-0269Filesystem sandbox escape when paths or symlinks contain trailing slashes
- RUSTSEC-2026-0379Cranelift backend on aarch64 can jump to incorrect target on large Wasm `br_table` instruction
- GHSA-m9w2-8782-2946Wasmtime has host data leakage with 64-bit tables and Winch
- GHSA-243v-98vx-264hWasmtime can panic when adding excessive fields to a `wasi:http/types.fields` instance
- GHSA-394w-hwhg-8vgmWasmtime has out-of-bounds write or crash when transcoding component model strings
- GHSA-852m-cvvp-9p4wWasmtime WASI implementations are vulnerable to guest-controlled resource exhaustion
- GHSA-f984-pcp8-v2p7Wasmtime has improperly masked return value from `table.grow` with Winch compiler backend
- GHSA-hx6p-xpx3-jvvvWasmtime: Heap OOB read in component model UTF-16 to latin1+utf16 string transcoding
- GHSA-jxhv-7h78-9775Wasmtime: Panic when transcoding misaligned utf-16 strings
- GHSA-m758-wjhj-p3jqWasmtime has a possible panic when lifting `flags` component value
- GHSA-p8xm-42r7-89xgwasmtime has a panic when allocating a table exceeding the size of the host's address space
- GHSA-q49f-xg75-m9xwWasmtime has host panic when Winch compiler executes `table.fill`
- GHSA-qqfj-4vcm-26hvWasmtime segfault or unused out-of-sandbox load with `f64x2.splat` operator on x86-64
- GHSA-vc8c-j3xm-xj73Wasmtime segfault or unused out-of-sandbox load with f64.copysign operator on x86-64
- RUSTSEC-2026-0363Component-model handle tables are capped only per instance and charged to no limit
- GHSA-6wgr-89rj-399pWasmtime has data leakage between pooling allocator instances
- GHSA-hc7m-r6v8-hg9qWasmtime provides unsound API access to a WebAssembly shared linear memory
- RUSTSEC-2026-0222Stores can mix up type indices between engines
- RUSTSEC-2026-0316Dynamic record lifting can allocate beyond the hostcall fuel limit
form-data 4.0.0欠陥 2 件4.0.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
serialize-javascript 6.0.2欠陥 3 件7.1.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
openssl 0.10.38欠陥 13 件0.10.79 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-6hcf-g6gr-hhcr`openssl` `X509Extension::new` and `X509Extension::new_nid` null pointer dereference
- GHSA-9qwg-crg9-m2vc`openssl` `SubjectAlternativeName` and `ExtendedKeyUsage::other` allow arbitrary file read
- GHSA-q445-7m23-qrmwopenssl's `MemBio::get_buf` has undefined behavior with empty buffers
- GHSA-rpmj-rpgj-qmpmrust-openssl ssl::select_next_proto use after free
- GHSA-xcf7-rvmh-g6q4`openssl` `X509VerifyParamRef::set_host` buffer over-read
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-3gxf-9r58-2ghg`openssl` `X509NameBuilder::build` returned object is not thread safe
- GHSA-xphf-cx8h-7q9g`openssl` `X509StoreRef::objects` is unsound
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
openssl 0.10.75欠陥 8 件0.10.80 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8c75-8mhr-p7r9rust-openssl has incorrect bounds assertion in aes key wrap
- GHSA-ghm9-cr32-g9qjrust-openssl: rustMdCtxRef::digest_final() writes past caller buffer with no length check
- GHSA-pqf5-4pqq-29f5rust-openssl: Deriver::derive and PkeyCtxRef::derive can overflow short buffers on OpenSSL 1.1.1
- GHSA-hppc-g8h3-xhp3rust-openssl: Unchecked callback length in PSK/cookie trampolines leaks adjacent memory to peer
- GHSA-xp3w-r5p5-63rrrust-openssl has undefined behavior in X509Ref::ocsp_responders for certificates with non-UTF-8 OCSP URLs
- GHSA-phqj-4mhp-q6mqrust-openssl: Potential out-of-bounds write in `CipherCtxRef::cipher_update_inplace` for AES-KW-PAD ciphers
- GHSA-xv59-967r-8726rust-openssl vulnerable to heap buffer overflow when encrypting with AES key-wrap-with-padding
- GHSA-xmgf-hq76-4vx2rust-opennssl has an Out-of-bounds read in PEM password callback when returning an oversized length
tokio 1.13.0欠陥 5 件1.51.6 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-fg7r-2g4j-5cgrRace Condition in tokio
- GHSA-7rrj-xr53-82p7Tokio reject_remote_clients configuration may get dropped when creating a Windows named pipe
- GHSA-rr8g-9fpq-6wmgTokio broadcast channel calls clone in parallel, but does not require `Sync`
- GHSA-4q83-7cq4-p6wg`tokio::io::ReadHalf<T>::unsplit` is Unsound
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
@babel/plugin-transform-modules-systemjs 7.25.9欠陥 1 件7.29.4 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-fv7c-fp4j-7gwp@babel/plugin-transform-modules-systemjs generates arbitrary code when compiling malicious input
sharp 0.35.4欠陥 1 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
rkyv 0.8.16欠陥 3 件0.8.17 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。
- RUSTSEC-2026-0233Crafted archives can cause a use-after-free during deserialization
- RUSTSEC-2026-0234Insufficient archive validation can cause out-of-bounds reads in archives containing hash tables
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
fast-uri 3.0.2欠陥 12 件3.1.9 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
tmp 0.0.33欠陥 2 件0.2.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ph9p-34f9-6g65tmp has Path Traversal via unsanitized prefix/postfix that enables directory escape
- GHSA-52f5-9888-hmc6tmp allows arbitrary temporary file / directory write via symbolic link `dir` parameter
@humanfs/node 0.16.7欠陥 1 件0.16.8 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-p498-v437-472ghumanfs: Recursive copy follows symlinked files and copies data from outside the source tree
webpack 5.98.0欠陥 2 件5.104.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-38r7-794h-5758webpack buildHttp HttpUriPlugin allowedUris bypass via HTTP redirects → SSRF + cache persistence
- GHSA-8fgc-7cc6-rx7xwebpack buildHttp: allowedUris allow-list bypass via URL userinfo (@) leading to build-time SSRF behavior
@babel/core 7.26.10欠陥 1 件7.29.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-4x5r-pxfx-6jf8@babel/core: Arbitrary File Read via sourceMappingURL Comment
rustls 0.23.31欠陥 4 件0.23.46 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- RUSTSEC-2026-0346`Debug` impls for client session values expose TLS secrets
- GHSA-2mjx-qc3c-rqvcRustls: TLS 1.3 handshake messages incorrectly accepted across encryption level boundaries
- RUSTSEC-2026-0348Brotli certificate decompression can allocate up to 1 GiB before authentication
- RUSTSEC-2026-0349Unauthenticated ServerHello can downgrade later connections to classical key exchange
aws-lc-sys 0.30.0欠陥 4 件0.39.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-65p9-r9h6-22vjAWS-LC has Timing Side-Channel in AES-CCM Tag Verification
- GHSA-9f94-5g5w-gf6rCRL Distribution Point Scope Check Logic Error in AWS-LC
- GHSA-hfpc-8r3f-gw53AWS-LC has PKCS7_verify Signature Validation Bypass
- GHSA-vw5v-4f2q-w9xfAWS-LC has PKCS7_verify Certificate Chain Validation Bypass
browserslist 4.28.1欠陥 2 件4.28.7 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
mio 0.7.14欠陥 1 件0.8.11 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r8w9-5wcg-vfj7Mio's tokens for named pipes may be delivered after deregistration
flatted 3.3.1欠陥 2 件3.4.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rf6f-7fwh-wjghPrototype Pollution via parse() in NodeJS flatted
- GHSA-25h7-pfq9-p65fflatted vulnerable to unbounded recursion DoS in parse() revive phase
immutable 4.1.0欠陥 3 件4.3.9 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-wf6x-7x77-mvgwImmutable is vulnerable to Prototype Pollution
- GHSA-v56q-mh7h-f735Immutable.js `List` 32-bit trie overflow → unrecoverable DoS
- GHSA-xvcm-6775-5m9rImmutable: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set
picomatch 2.3.1欠陥 2 件2.3.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
picomatch 4.0.3欠陥 2 件4.0.4 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
js-yaml 3.14.1欠陥 5 件3.15.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
undici 5.28.4欠陥 15 件6.28.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
rustls-webpki 0.103.4欠陥 5 件0.103.16 で修正誰かがデータやファイルを書き換えられるおそれがあります。 アカウントがある場合のみ。
- GHSA-pwjx-qhcg-rvj4webpki: CRLs not considered authoritative by Distribution Point due to faulty matching logic
- GHSA-82j2-j2ch-gfr8rustls-webpki: Denial of service via panic on malformed CRL BIT STRING
- GHSA-965h-392x-2mh5webpki: Name constraints for URI names were incorrectly accepted
- GHSA-xgp8-3hg3-c2mhwebpki: Name constraints were accepted for certificates asserting a wildcard name
- RUSTSEC-2026-0382Certificate verification may accept distrusted intermediates
swc_html_minifier 53.0.0欠陥 1 件59.0.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5qr2-v392-m9g8SWC HTML minifier may allow script element breakout when minifying embedded JSON
サービスが止まったり遅くなったりするおそれ
minimatch 3.0.4欠陥 4 件3.1.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
- GHSA-f8q6-p94x-37v3minimatch ReDoS vulnerability
minimatch 3.1.2欠陥 3 件3.1.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
minimatch 9.0.5欠陥 3 件9.0.7 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
js-yaml 4.2.0欠陥 3 件4.3.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
nanoid 3.3.16欠陥 1 件3.3.18 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
ws 7.5.3欠陥 2 件7.5.11 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
brace-expansion 1.1.11欠陥 8 件1.1.21 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 2.0.1欠陥 8 件2.1.7 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
- GHSA-v6h2-p8h4-qcjwbrace-expansion Regular Expression Denial of Service vulnerability
brace-expansion 5.0.4欠陥 8 件5.0.12 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-f886-m6hf-6m8vbrace-expansion: Zero-step sequence causes process hang and memory exhaustion
- GHSA-jxxr-4gwj-5jf2brace-expansion: Large numeric range defeats documented `max` DoS protection
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
brace-expansion 2.1.0欠陥 6 件2.1.7 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
cross-spawn 7.0.3欠陥 1 件7.0.5 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
quinn-proto 0.11.13欠陥 6 件0.11.18 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4w2j-m93h-cj5jQuinn: Remote memory exhaustion in quinn-proto from unbounded out-of-order stream reassembly
- GHSA-6xvm-j4wr-6v98Quinn affected by unauthenticated remote DoS via panic in QUIC transport parameter parsing
- RUSTSEC-2026-0340Peer minimum ACK delay can panic quinn-proto when ACK_FREQUENCY transmission is enabled
- RUSTSEC-2026-0338Remote peer can panic quinn-proto with zero-length STREAM frames during unordered reads
- RUSTSEC-2026-0339Unbounded growth of pending connection ID retirements in quinn-proto
- RUSTSEC-2026-0342Zero-length DATAGRAM frames bypass the receive buffer limit in quinn-proto
source-map-js 1.0.2欠陥 1 件1.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
source-map-js 1.2.1欠陥 1 件1.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-68fv-2mgg-jv7qsource-map-js allows event-loop denial of service through indexed source-map section offsets
tungstenite 0.18.0欠陥 1 件0.20.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-9mcr-873m-xcxpTungstenite allows remote attackers to cause a denial of service
zod 3.25.76欠陥 1 件4.6.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
css-what 5.0.0欠陥 1 件5.0.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-q8pj-2vqx-8ggcDenial of service in css-what
nth-check 2.0.0欠陥 1 件2.0.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
trim 0.0.1欠陥 1 件0.0.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w5p7-h5w8-2hfqRegular Expression Denial of Service in trim
@fastify/busboy 2.1.1欠陥 2 件3.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
ajv 6.12.6欠陥 1 件6.14.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
ajv 8.17.1欠陥 1 件8.18.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
@octokit/plugin-paginate-rest 2.21.3欠陥 1 件9.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/plugin-paginate-rest 9.1.5欠陥 1 件9.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
h2 0.3.7欠陥 4 件0.4.16 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-q6cp-qfwq-4gcvh2 servers vulnerable to degradation of service with CONTINUATION Flood
- GHSA-8r5v-vm4m-4g25Resource exhaustion vulnerability in h2 may lead to Denial of Service (DoS)
- GHSA-f8vr-r385-rh5rh2 vulnerable to denial of service
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
h2 0.3.24欠陥 2 件0.4.16 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-q6cp-qfwq-4gcvh2 servers vulnerable to degradation of service with CONTINUATION Flood
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
@octokit/request 5.6.3欠陥 1 件8.4.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/request 8.1.6欠陥 1 件8.4.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
baseline-browser-mapping 2.9.19欠陥 1 件2.11.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
@octokit/request-error 2.1.0欠陥 1 件5.1.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
@octokit/request-error 5.0.1欠陥 1 件5.1.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
yaml 1.10.2欠陥 1 件1.10.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 アカウントがある場合のみ。
- GHSA-48c2-rrv3-qjmpyaml is vulnerable to Stack Overflow via deeply nested YAML collections
diff 5.1.0欠陥 1 件5.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-73rr-hh4g-fpgxjsdiff has a Denial of Service vulnerability in parsePatch and applyPatch
debug 4.1.1欠陥 1 件4.3.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-gxpj-cx7g-858cRegular Expression Denial of Service in debug
idna 0.2.3欠陥 1 件1.0.0 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-h97m-ww89-6jmq`idna` accepts Punycode labels that do not produce any non-ASCII when decoded
uuid 8.3.2欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
serde_with 3.18.0欠陥 1 件3.21.0 で修正影響が明記されていない欠陥です。 マシンにアクセスできる場合のみ。
- GHSA-7gcf-g7xr-8hxjserde_with: KeyValueMap serialization panics on empty sequence or map entries
xxhash-rust 0.8.15欠陥 1 件0.8.16 で修正影響が明記されていない欠陥です。 マシンにアクセスできる場合のみ。
- GHSA-6g2r-675j-hx59xxhash-rust: Safe xxh3 custom-secret API accepts too-short secret in release
lexical-core 0.8.5欠陥 1 件1.0.0 で修正影響が明記されていない欠陥です。
- GHSA-2326-pfpj-vx3hlexical-core has multiple soundness issues
lexical 6.1.1欠陥 1 件7.0.0 で修正影響が明記されていない欠陥です。
- GHSA-c2hm-mjxv-89r4Multiple soundness issues in lexical
rand 0.8.4欠陥 1 件0.8.6 で修正影響が明記されていない欠陥です。
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
rand 0.8.5欠陥 1 件0.8.6 で修正影響が明記されていない欠陥です。
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
rand 0.9.0欠陥 1 件0.9.3 で修正影響が明記されていない欠陥です。
- GHSA-cq8v-f236-94qcRand is unsound with a custom logger using rand::rng()
remove_dir_all 0.5.3欠陥 1 件0.8.0 で修正影響が明記されていない欠陥です。
- GHSA-mc8h-8q98-g5hrRace Condition Enabling Link Following and Time-of-check Time-of-use (TOCTOU) Race Condition in remove_dir_all
difference 2.0.0欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2020-0095difference is unmaintained
ansi_term 0.12.1欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2021-0139ansi_term is Unmaintained
json 0.12.4欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2022-0081json is unmaintained
atomic-polyfill 0.1.11欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2023-0089atomic-polyfill is unmaintained
proc-macro-error 1.0.4欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2024-0370proc-macro-error is unmaintained
paste 1.0.15欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2024-0436paste - no longer maintained
adler 1.0.2欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2025-0056adler crate is unmaintained, use adler2 instead
rkyv 0.7.45欠陥 2 件0.8.17 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0001Potential Undefined Behaviors in `Arc<T>`/`Rc<T>` impls of `from_value` on OOM
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
memmap2 0.9.5欠陥 1 件0.9.11 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0186Unchecked pointer offset in crate `memmap2`
anyhow 1.0.100欠陥 1 件1.0.103 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0190Unsoundness in `Error::downcast_mut()`
anyhow 1.0.102欠陥 1 件1.0.103 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0190Unsoundness in `Error::downcast_mut()`
crossbeam-epoch 0.9.15欠陥 1 件0.9.20 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0204Invalid pointer dereference in `fmt::Pointer` impl for `Atomic` and `Shared` when the underlying pointer is invalid
crossbeam-epoch 0.9.18欠陥 1 件0.9.20 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0204Invalid pointer dereference in `fmt::Pointer` impl for `Atomic` and `Shared` when the underlying pointer is invalid
event-listener 5.4.0欠陥 1 件5.4.2 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0221`event-listener` allows `!Send` tags to cross thread boundaries via `StackSlot`
rkyv 0.7.46欠陥 1 件0.8.17 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0235Insufficient archive validation can cause out-of-bounds reads in archives containing Rc/Arc
smartstring 1.0.1欠陥 1 件影響が明記されていない欠陥です。
- RUSTSEC-2026-0249smartstring is unmaintained
lru 0.16.4欠陥 1 件0.18.2 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0253Potential use-after-free due to lack of panic safety in `LruCache::pop()`
webbrowser 1.0.6欠陥 1 件1.2.2 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0257Unix `BROWSER` handling allows browser argument injection
h2 0.4.7欠陥 1 件0.4.16 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0258h2 unbounded empty DATA frames
webpki-root-certs 1.0.5欠陥 1 件1.0.10 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0383Bundled root certificates allow trust in distrusted emSign intermediates
tokio 1.52.1欠陥 1 件1.53.3 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
tokio 1.52.3欠陥 1 件1.53.3 で修正影響が明記されていない欠陥です。
- RUSTSEC-2026-0386`AsyncFd::new` and related constructors violate I/O safety
内部のみ
開発ツール、テスト、サンプル、ドキュメント、ベンチマーク：ユーザーには届かないので、答えには含めません。
next 16.1.4欠陥 41 件16.4.1 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2464-fhr4-w9xwNext.js: Unauthenticated Remote Code Execution in Image Optimization API when SVG files are used
- GHSA-2xp9-vwfh-vxw4Next.js: Unauthenticated Remote Code Execution in Image Optimization API when AVIF files are used
- GHSA-673q-mjm6-r5xrNext.js: Unauthenticated Remote Code Execution in `use cache` functions returning typed arrays
- GHSA-h25m-26qc-wcjfNext.js HTTP request deserialization can lead to DoS when using insecure React Server Components
- GHSA-p293-qw3h-jr36Next.js: Unauthenticated Remote Code Execution on windows-hosted servers
- GHSA-89xv-2m56-2m9xNext.js: Server-Side Request Forgery in Server Actions on custom servers
- GHSA-c4j6-fc7j-m34rNext.js vulnerable to server-side request forgery in applications using WebSocket upgrades
- GHSA-cjq9-62q9-8jv4Next.js has Server-Side Request Forgery in Image Optimization
- GHSA-p9j2-gv94-2wf4Next.js: Server-Side Request Forgery in rewrites via attacker-controlled destination hostname
- GHSA-68g3-v927-f742Next.js: Cache confusion of response bodies for requests with bodies
- GHSA-955p-x3mx-jcvpNext.js: Unauthenticated disclosure of internal Server Function endpoints
- GHSA-f87g-xv8r-7p7xNext.js has information disclosure in App Router metadata image routes via dynamicParams bypass
- GHSA-39w2-rjm5-chcvNext.js has information disclosure in development server's Model Context Protocol endpoint
- GHSA-267c-6grr-h53fNext.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes
- GHSA-26hh-7cqf-hhc6Next.js has a Middleware / Proxy bypass in App Router applications via segment-prefetch routes - Incomplete Fix Follow-Up
- GHSA-36qx-fr4f-26g5Next.js has a Middleware / Proxy bypass in Pages Router applications using i18n
- GHSA-6gpp-xcg3-4w24Next.js: Middleware / Proxy bypass in App Router applications using Turbopack and single locale
- GHSA-492v-c6pp-mqqvNext.js has a Middleware / Proxy bypass through dynamic route parameter injection
- GHSA-mq59-m269-xvcxNext.js: null origin can bypass Server Actions CSRF checks
- GHSA-jcc7-9wpm-mj36Next.js: null origin can bypass dev HMR websocket CSRF checks
- GHSA-4633-3j49-mh5qNext.js: Cache confusion of response bodies for requests with bodies containing invalid UTF-8 byte sequences
- GHSA-ffhc-5mcf-pf4qNext.js vulnerable to cross-site scripting in App Router applications using CSP nonces
- GHSA-gx5p-jg67-6x7hNext.js has cross-site scripting in beforeInteractive scripts with untrusted input
- GHSA-8h8q-6873-q5fjNext.js Vulnerable to Denial of Service with Server Components
- GHSA-m99w-x7hq-7vfjNext.js: Denial of Service in App Router using Server Actions
- GHSA-mg66-mrh9-m8jxNext.js vulnerable to Denial of Service via connection exhaustion in applications using Cache Components
- GHSA-p3m5-59mp-jv5rNext.js: Denial of Service in App Router using Server Actions
- GHSA-q4gf-8mx6-v5v3Next.js has a Denial of Service with Server Components
- GHSA-3x4c-7xq6-9pq8Next.js: Unbounded next/image disk cache growth can exhaust storage
- GHSA-4c39-4ccg-62r3Next.js: Unbounded Server Action payload in Edge runtime
- GHSA-5f7q-jpqc-wp7hNext.js has Unbounded Memory Consumption via PPR Resume Endpoint
- GHSA-9g9p-9gw9-jx7fNext.js self-hosted applications vulnerable to DoS via Image Optimizer remotePatterns configuration
- GHSA-h27x-g6w4-24gqNext.js: Unbounded postponed resume buffering can lead to DoS
- GHSA-h64f-5h5j-jqjhNext.js has a Denial of Service in the Image Optimization API
- GHSA-mcj8-r9mp-w47pNext.js has cache poisoning in SSG/ISR rendering that leads to cross-user content substitution and persistent denial of service
- GHSA-q8wf-6r8g-63chNext.js: Denial of Service in the Image Optimization API using SVGs
- GHSA-vfv6-92ff-j949Next.js vulnerable to cache poisoning via collisions in React Server Component cache-busting
- GHSA-4jqv-mc3x-m676Next.js has cache poisoning of SSG and ISR pages in self-hosted applications
- GHSA-ggv3-7p47-pfv8Next.js: HTTP request smuggling in rewrites
- GHSA-wfc6-r584-vfw7Next.js vulnerable to cache poisoning in React Server Component responses
- GHSA-3g8h-86w9-wvmqNext.js's Middleware / Proxy redirects can be cache-poisoned
vm2 3.10.5欠陥 54 件3.12.2 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-248r-7h7q-cr24vm2 Has a Sandbox Breakout Using Async Generator
- GHSA-27g9-p43v-cw3vvm2 sandbox escape on Node.js 26 through a stale PromiseThenLookupChain protector
- GHSA-47x8-96vw-5wg6vm2 Access to Host Object Enables Sandbox Escape
- GHSA-55hx-c926-fr95VM2 Has a Sandbox Escape Issue via SuppressedError
- GHSA-6j2x-vhqr-qr7qvm2 sandbox escape via JSPI-backed Promise `.finally()` species bypass
- GHSA-76w7-j9cq-rx2jvm2 is Vulnerable to Sandbox Breakout Through Promise Species
- GHSA-88hf-g992-jg85vm2: Sandbox Escape (NodeVM)
- GHSA-9qj6-qjgg-37qqvm2 has sandbox breakout via `neutralizeArraySpeciesBatch`
- GHSA-9vg3-4rfj-wgcmvm2 has Sandbox Breakout Through Null Proto Exception
- GHSA-cfcw-xp6x-25gjvm2: Sandbox Breakout Using Dangerous Host Proto Mutators
- GHSA-grj5-jjm8-h35pVM2 Sandbox Breakout Through __lookupGetter__
- GHSA-j3hm-6rg5-mchvvm2: NodeVM `require.external` without an explicit `require.root` grants unrestricted host filesystem access and full RCE
- GHSA-m4wx-m65x-ghrrvm2 has a CVE-2023-37903 patch bypass: nesting:true without explicit require still allows full RCE
- GHSA-pq68-rvw4-xp4rvm2 contains a sandbox escape vulnerability
- GHSA-qcp4-v2jj-fjx8vm2 has a Sandbox Escape Vulnerability
- GHSA-rp36-8xq3-r6c4NodeVM builtin denylist bypass via process and inspector/promises allows host code execution
- GHSA-v37h-5mfm-c47cVM2 Has Sandbox Breakout Through Inspect Function
- GHSA-v6mx-mf47-r5wgvm2 has a Sandbox Escape issue
- GHSA-vwrp-x96c-mhwqvm2: Mutable Proxies for Host Intrinsic Prototypes Allows Sandbox Escape
- GHSA-wjwh-qqvp-g4p4vm2 sandbox escape via WebAssembly.compileStreaming Promise species bypass
- GHSA-x965-fc75-jpqhvm2 sandbox escape to host RCE via revisited host-wrapped AggregateError bypassing Error sanitization cycle short-circuit
- GHSA-m283-3h24-438vVM2 has Missing Error.cause Sanitization that Enables Sandbox Escape to RCE
- GHSA-qhwx-74w5-xhxqvm2: NodeVM builtin allowlist bypass via node:test.run() execArgv allows sandbox escape
- GHSA-m5q2-4fm3-vfqpvm2 has a sandbox escape via unblocked cross-realm Symbol.for keys + missing bridge write-trap symbol checks
- GHSA-cp6g-6699-wx9cvm2 has a NodeVM require.root bypass via symlink traversal that allows sandbox escape
- GHSA-jxxv-8r27-vm4pvm2 CLI provides no sandbox isolation - host-realm require() is reachable from sandboxed scripts
- GHSA-fcqc-726x-5wfcvm2: Sandboxed code can read and write host-realm memory via Node's shared Buffer pool
- GHSA-m5w8-4gq2-6f8xvm2: NodeVM `builtin: ['*']` exposes `os` and `dns` — process-wide observability reads AND writes that hijack the host (sibling class of GHSA-9g8x-92q2-p28f)
- GHSA-r9pm-gxmw-wv6pNodeVM network builtin exclusions bypass via internal _http_client and _http_server
- GHSA-489w-w794-jq94vm2: NodeVM zlib Buffers expose pooled host memory across the VM boundary
- GHSA-9g8x-92q2-p28fNodeVM observability builtins leak host process and HTTP request data
- GHSA-r273-hxvj-fxhpvm2: util.getCallSites() bypasses GHSA-v27g-jcqj-v8rw host-frame redaction, leaks host call stack
- GHSA-v27g-jcqj-v8rwvm2 is Vulnerable to Host File Path Disclosure via Stack Trace Information Leak
- GHSA-wp5r-2gw5-m7q7vm2's Transformer Fast-Path Bypass Exposes Internal State Variable
- GHSA-7q3f-wx44-378mvm2: External module allowlist uses a raw prefix test, so a prefix-sharing sibling package is treated as allowlisted
- GHSA-5h3f-q97h-ccvcvm2: NodeVM custom resolution bypasses external path boundaries
- GHSA-8686-vhfx-7r3jvm2: NodeVM node:-prefixed negative builtin deny bypass exposes child_process
- GHSA-8hg8-63c5-gwmxvm2 NodeVM `nesting: true` bypasses `require: false` allowing sandbox escape and arbitrary OS command execution
- GHSA-947f-4v7f-x2v8vm2 has a NodeVM builtin allowlist bypass via `module` builtin's `Module._load` that allows sandbox escape
- GHSA-c48m-32m9-vx93vm2 Custom Module Resolver Can Bypass the External Package Allowlist by Loading a Colliding Host Package
- GHSA-6rh5-qq4q-97xhvm2: NodeVM builtin denylist bypass via fs/promises despite -fs, allowing host filesystem writes
- GHSA-c4cf-2hgv-2qv6vm2's Bridge Proxy set trap ignores receiver parameter, enabling host object property injection via prototype chain
- GHSA-633r-hq9m-c4ffvm2: vm.freeze()/vm.readonly() bypass via accessor descriptor
- GHSA-gjq8-xm47-88rcvm2: Host-returned Promise rejection can bypass vm2's unhandled-rejection hardening and terminate the host process
- GHSA-2v2p-6j97-cjg9vm2: Host Promise rejection from an exposed constructor can terminate the vm2 host process
- GHSA-6785-pvv7-mvg7vm2 Sandbox Access to Host Buffer.alloc Allows timeout Bypass Resulting in Memory Exhaustion
- GHSA-gmc2-2x9w-cgh9vm2's bufferAllocLimit cap bypassed by Buffer.concat and Buffer.from arrayLike
- GHSA-hw58-p9xv-2mjhvm2 has a Sandbox Escape via Promise Constructor Unhandled Rejection (Process Crash DoS)
- GHSA-r4fx-v8hh-22mvvm2: timeout Option Bypass via FinalizationRegistry Cleanup Callback (Unbounded Host Event-Loop Block)
- GHSA-v836-6xw4-9cx3vm2 has Memory Exhaustion DoS via bufferAllocLimit Bypass
- GHSA-f8gf-w286-fmq2vm2: `allowAsync: false` can be bypassed through Promise thenable assimilation in VM and NodeVM
- GHSA-2cm2-m3w5-gp2fvm2 has access to `VM2_INTERNAL_STATE_DO_NOT_USE_OR_PROGRAM_WILL_FAIL`
- GHSA-mpf8-4hx2-7cjgvm2 Host Promise Resolution Preserves Object Identity Across Sandbox Boundary
- GHSA-q3fm-4wcw-g57xvm2 setup-sandbox.js violates Defense Invariant #11 in stack-trace formatter
handlebars 4.7.7欠陥 11 件4.7.10 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2w6w-674q-4c4qHandlebars.js has JavaScript Injection via AST Type Confusion
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-3mfm-83xf-c92rHandlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
- GHSA-xhpv-hc6g-r9c6Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
- GHSA-xjpj-3mr7-gcpfHandlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
- GHSA-2qvq-rjwj-gvw9Handlebars.js has Prototype Pollution Leading to XSS through Partial Template Injection
- GHSA-7rx3-28cr-v5whHandlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
- GHSA-9cx6-37pm-9jffHandlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
- GHSA-442j-39wm-28r2Handlebars.js has a Property Access Validation Bypass in container.lookup
handlebars 4.7.8欠陥 11 件4.7.10 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2w6w-674q-4c4qHandlebars.js has JavaScript Injection via AST Type Confusion
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-3mfm-83xf-c92rHandlebars.js has JavaScript Injection via AST Type Confusion by tampering @partial-block
- GHSA-xhpv-hc6g-r9c6Handlebars.js has JavaScript Injection via AST Type Confusion when passing an object as dynamic partial
- GHSA-xjpj-3mr7-gcpfHandlebars.js has JavaScript Injection in CLI Precompiler via Unescaped Names and Options
- GHSA-2qvq-rjwj-gvw9Handlebars.js has Prototype Pollution Leading to XSS through Partial Template Injection
- GHSA-7rx3-28cr-v5whHandlebars.js has a Prototype Method Access Control Gap via Missing __lookupSetter__ Blocklist Entry
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
- GHSA-9cx6-37pm-9jffHandlebars.js has Denial of Service via Malformed Decorator Syntax in Template Compilation
- GHSA-442j-39wm-28r2Handlebars.js has a Property Access Validation Bypass in container.lookup
handlebars 4.7.9欠陥 3 件4.7.10 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8r5x-fm3f-whwjHandlebars: JavaScript Injection via AST Type Confusion in compile (bypass of CVE-2026-33937)
- GHSA-p8wg-vrv2-v86fHandlebars: JavaScript Injection via Own Property Check Bypass
- GHSA-xw65-4hp5-5hc7Handlebars: JavaScript Injection via Unsafe Inline Embedding of Precompiled Templates
underscore 1.7.0欠陥 2 件1.13.8 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-cf4h-3jhx-xvhqArbitrary Code Execution in underscore
- GHSA-qpx9-hpmf-5gmwUnderscore has unlimited recursion in _.flatten and _.isEqual, potential for DoS attack
storybook 8.6.0欠陥 4 件8.6.19 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f2ph-cmg5-wxc8Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites
- GHSA-px85-f4q5-jh77Storybook dev server vulnerable to code injection from the local network
- GHSA-8452-54wp-rmv6Storybook manager bundle may expose environment variables during build
- GHSA-mjf5-7g4m-gx5wStorybook Dev Server is Vulnerable to WebSocket Hijacking
@storybook/core 8.6.0欠陥 2 件8.6.19 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f2ph-cmg5-wxc8Storybook: Missing origin validation in Storybook preview allows code injection from malicious websites
- GHSA-px85-f4q5-jh77Storybook dev server vulnerable to code injection from the local network
chrome-launcher 0.10.7欠陥 1 件0.13.2 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-gp2j-mg4w-2rh5chrome-launcher subject to OS Command Injection
ejs 2.7.4欠陥 2 件3.1.10 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-phwq-j96m-2c2qejs template injection vulnerability
- GHSA-ghr5-ch3p-vcr6ejs lacks certain pollution protection
shell-quote 1.7.3欠陥 2 件1.9.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
shell-quote 1.7.4欠陥 2 件1.9.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
shell-quote 1.8.2欠陥 2 件1.9.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w7jw-789q-3m8pshell-quote quote() does not escape newlines in object .op values
- GHSA-395f-4hp3-45gvshell-quote: Quadratic-complexity Denial of Service in `parse()` (CWE-407)
protobufjs 6.11.2欠陥 13 件7.6.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-h755-8qp9-cq85protobufjs Prototype Pollution vulnerability
- GHSA-g954-5hwp-pp24Prototype Pollution in protobufjs
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.2.4欠陥 12 件7.6.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-h755-8qp9-cq85protobufjs Prototype Pollution vulnerability
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.5.3欠陥 12 件7.6.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-j3f2-48v5-ccwwprotobufjs: Denial of Service via infinite loop in .proto option parsing
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 7.5.4欠陥 12 件7.6.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-j3f2-48v5-ccwwprotobufjs: Denial of Service via infinite loop in .proto option parsing
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
protobufjs 6.11.4欠陥 11 件7.6.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-xq3m-2v4x-88ggArbitrary code execution in protobufjs
- GHSA-75px-5xx7-5xc7protobuf.js: Code generation gadget after prototype pollution
- GHSA-66ff-xgx4-vchmprotobuf.js: Code injection through bytes field defaults in generated toObject code
- GHSA-jvwf-75h9-cwggprotobuf.js: Process-wide denial of service through unsafe option paths
- GHSA-fx83-v9x8-x52wprotobuf.js: Prototype injection in generated message constructors
- GHSA-685m-2w69-288qprotobuf.js: Denial of service through unbounded protobuf recursion
- GHSA-wcpc-wj8m-hjx6protobufjs: Denial of service through unbounded Any expansion during JSON conversion
- GHSA-2pr8-phx7-x9h3protobuf.js: Denial of service from crafted field names in generated code
- GHSA-f38q-mgvj-vph7protobufjs : Schema-derived names can shadow runtime-significant properties
- GHSA-jggg-4jg4-v7c6protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
@babel/traverse 7.6.2欠陥 1 件7.23.2 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-67hx-6x53-jw92Babel vulnerable to arbitrary code execution when compiling specifically crafted malicious code
piscina 3.2.0欠陥 2 件4.9.4 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-x9g3-xrwr-cwfgpiscina: Prototype Pollution Gadget → RCE via inherited options.filename
- GHSA-67c8-pqhq-4rmxpiscina: Prototype-pollution gadget in ThreadPool.options allows RCE via execArgv / loadBalancer / env
lodash 3.10.1欠陥 6 件4.18.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-35jh-r3h4-6jhmCommand Injection in lodash
- GHSA-jf85-cpcp-j695Prototype Pollution in lodash
- GHSA-p6mc-m468-83gwPrototype Pollution in lodash
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-fvqr-27wr-82fmPrototype Pollution in lodash
- GHSA-4xc9-xhrj-v574Prototype Pollution in lodash
basic-ftp 5.0.5欠陥 5 件6.2.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5rq4-664w-9x2cBasic FTP has Path Traversal Vulnerability in its downloadToDir() method
- GHSA-6v7q-wjvx-w8wgbasic-ftp: Incomplete CRLF Injection Protection Allows Arbitrary FTP Command Execution via Credentials and MKD Commands
- GHSA-c475-qrg2-pj4rbasic-ftp: Quadratic-time CPU denial of service in Client.list() Unix directory-listing parser (RE_LINE backtracking)
- GHSA-rp42-5vxx-qpwrbasic-ftp vulnerable to denial of service via unbounded memory consumption in Client.list()
- GHSA-rpmf-866q-6p89basic-ftp allows a malicious FTP server to cause client-side denial of service via unbounded multiline control response buffering
socket.io-parser 3.3.2欠陥 4 件3.3.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qm95-pgcg-qqfqInsufficient validation when decoding a Socket.IO packet
- GHSA-2m8v-j782-fhvrSocket.IO: Zero-attachment Memory Exhaustion
- GHSA-677m-j7p3-52f9socket.io allows an unbounded number of binary attachments
- GHSA-cqmj-92xf-r6r9Insufficient validation when decoding a Socket.IO packet
socket.io-parser 3.4.1欠陥 4 件3.4.5 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qm95-pgcg-qqfqInsufficient validation when decoding a Socket.IO packet
- GHSA-2m8v-j782-fhvrSocket.IO: Zero-attachment Memory Exhaustion
- GHSA-677m-j7p3-52f9socket.io allows an unbounded number of binary attachments
- GHSA-cqmj-92xf-r6r9Insufficient validation when decoding a Socket.IO packet
elliptic 6.5.3欠陥 8 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-vjh7-7g9h-fjfhElliptic's private key extraction in ECDSA upon signing a malformed input (e.g. a string)
- GHSA-r9p9-mrjm-926wElliptic Uses a Broken or Risky Cryptographic Algorithm
- GHSA-434g-2637-qmqrElliptic's verify function omits uniqueness validation
- GHSA-49q7-c7j4-3p7mElliptic allows BER-encoded signatures
- GHSA-f7q4-pwc6-w24pElliptic's EDDSA missing signature length check
- GHSA-fc9h-whq2-v747Valid ECDSA signatures erroneously rejected in Elliptic
- GHSA-848j-6mx2-7j84Elliptic Uses a Cryptographic Primitive with a Risky Implementation
- GHSA-977x-g7h5-7qgwElliptic's ECDSA missing check for whether leading bit of r and s is zero
elliptic 6.5.4欠陥 7 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-vjh7-7g9h-fjfhElliptic's private key extraction in ECDSA upon signing a malformed input (e.g. a string)
- GHSA-434g-2637-qmqrElliptic's verify function omits uniqueness validation
- GHSA-49q7-c7j4-3p7mElliptic allows BER-encoded signatures
- GHSA-f7q4-pwc6-w24pElliptic's EDDSA missing signature length check
- GHSA-fc9h-whq2-v747Valid ECDSA signatures erroneously rejected in Elliptic
- GHSA-848j-6mx2-7j84Elliptic Uses a Cryptographic Primitive with a Risky Implementation
- GHSA-977x-g7h5-7qgwElliptic's ECDSA missing check for whether leading bit of r and s is zero
tar 6.1.11欠陥 13 件7.5.21 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-f5x3-32g6-xq36Denial of service while parsing a tar file due to lack of folders count validation
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 6.2.1欠陥 12 件7.5.21 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-34x7-hfp2-rc4vnode-tar Vulnerable to Arbitrary File Creation/Overwrite via Hardlink Path Traversal
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-8qq5-rm4j-mr97node-tar is Vulnerable to Arbitrary File Overwrite and Symlink Poisoning via Insufficient Path Sanitization
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-r6q2-hw4h-h46wRace Condition in node-tar Path Reservations via Unicode Ligature Collisions on macOS APFS
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 7.5.7欠陥 9 件7.5.21 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-83g3-92jg-28cxArbitrary File Read/Write via Hardlink Target Escape Through Symlink Chain in node-tar Extraction
- GHSA-9ppj-qmqm-q256node-tar Symlink Path Traversal via Drive-Relative Linkpath
- GHSA-qffp-2rhf-9h96tar has Hardlink Path Traversal via Drive-Relative Linkpath
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
proxy-addr 2.0.5欠陥 1 件2.0.8 で修正誰かが別のユーザーになりすませるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-jqcg-44mw-7w3hproxy-addr vulnerable to IP spoofing via IPv4-mapped IPv6 trust subnet
proxy-addr 2.0.7欠陥 1 件2.0.8 で修正誰かが別のユーザーになりすませるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-jqcg-44mw-7w3hproxy-addr vulnerable to IP spoofing via IPv4-mapped IPv6 trust subnet
loader-utils 1.4.0欠陥 3 件1.4.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-76p3-8jx3-jpfqPrototype pollution in webpack loader-utils
- GHSA-3rfm-jhwj-7488loader-utils is vulnerable to Regular Expression Denial of Service (ReDoS) via url variable
- GHSA-hhq3-ff78-jv3gloader-utils is vulnerable to Regular Expression Denial of Service (ReDoS)
json-schema 0.2.3欠陥 1 件0.4.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-896r-f27r-55mwjson-schema is vulnerable to Prototype Pollution
sha.js 2.4.11欠陥 1 件2.4.12 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-95m3-7q98-8xr5sha.js is missing type checks leading to hash rewind and passing on crafted data
cipher-base 1.0.4欠陥 1 件1.0.5 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-cpq7-6gpm-g9rccipher-base is missing type checks, leading to hash rewind and passing on crafted data
pbkdf2 3.1.1欠陥 3 件3.1.7 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h7cp-r72f-jxh6pbkdf2 returns predictable uninitialized/zero-filled memory for non-normalized or unimplemented algos
- GHSA-v62p-rq8g-8h59pbkdf2 silently disregards Uint8Array input, returning static keys
- GHSA-477h-4r7f-fvrxpbkdf2 rehashes long passwords on every iteration, enabling denial of service
pbkdf2 3.1.2欠陥 3 件3.1.7 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h7cp-r72f-jxh6pbkdf2 returns predictable uninitialized/zero-filled memory for non-normalized or unimplemented algos
- GHSA-v62p-rq8g-8h59pbkdf2 silently disregards Uint8Array input, returning static keys
- GHSA-477h-4r7f-fvrxpbkdf2 rehashes long passwords on every iteration, enabling denial of service
fast-xml-parser 4.4.1欠陥 6 件5.7.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-m7jm-9gc2-mpf2fast-xml-parser has an entity encoding bypass via regex injection in DOCTYPE entity names
- GHSA-8gc5-j5rx-235rfast-xml-parser affected by numeric entity expansion bypassing all entity expansion limits (incomplete fix for CVE-2026-26278)
- GHSA-jmr7-xgp7-cmfjfast-xml-parser affected by DoS through entity expansion in DOCTYPE (no expansion limit)
- GHSA-jp2q-39xq-3w4gEntity Expansion Limits Bypassed When Set to Zero Due to JavaScript Falsy Evaluation in fast-xml-parser
- GHSA-gh4j-gqv2-49f6fast-xml-parser XMLBuilder: XML Comment and CDATA Injection via Unescaped Delimiters
- GHSA-fj3w-jwp8-x2g3fast-xml-parser has stack overflow in XMLBuilder with preserveOrder
websocket-driver 0.7.4欠陥 2 件0.7.5 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xv26-6w52-cph6websocket-driver: Message corruption via abuse of protocol length headers
- GHSA-mp7j-qc5w-4988websocket-driver: Resource limit bypass via message compression
minimist 0.0.8欠陥 2 件0.2.4 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xvch-5gv4-984hPrototype Pollution in minimist
- GHSA-vh95-rmgr-6w4mPrototype Pollution in minimist
minimist 0.0.10欠陥 2 件0.2.4 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xvch-5gv4-984hPrototype Pollution in minimist
- GHSA-vh95-rmgr-6w4mPrototype Pollution in minimist
form-data 2.3.3欠陥 2 件2.5.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
form-data 2.5.1欠陥 2 件2.5.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
form-data 3.0.1欠陥 2 件3.0.5 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
- GHSA-fjxv-7rqg-78g4form-data uses unsafe random function in form-data for choosing boundary
tar 7.5.11欠陥 6 件7.5.21 で修正誰かがデータやファイルを書き換えられるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
tar 7.5.15欠陥 6 件7.5.21 で修正誰かがデータやファイルを書き換えられるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-vmf3-w455-68vhnode-tar applies PAX size override to intermediary GNU long-name/long-link headers, causing tar parser interpretation differential (file smuggling)
- GHSA-23hp-3jrh-7fpwnode-tar: Decompression/parse DoS via unlimited input
- GHSA-8x88-c5mf-7j5wnode-tar: Negative tar entry size causes infinite loop in archive replace
- GHSA-r292-9mhp-454mnode-tar: Uncontrolled recursion in mapHas/filesFilter allows uncatchable stack-overflow DoS via crafted long-path tar with member selection
- GHSA-gvwx-54wh-qm9jnode-tar: Uncaught Exception DoS via NUL byte in PAX path/linkpath records
- GHSA-w8wr-v893-vjvpnode-tar: Process crash via PAX numeric path type confusion
axios 1.13.6欠陥 34 件1.20.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-3pq3-5fj3-cg6vAxios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-4hqw-qxg8-jxx2Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-542g-h47m-68v8Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-mwf2-3pr3-8698Axios: HTTP/2 streamed uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 1.7.9欠陥 33 件1.20.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-4hjh-wcwx-xvwjAxios is vulnerable to DoS attack through lack of data size check
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 1.9.0欠陥 32 件1.20.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-35jp-ww65-95whaxios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-q8qp-cvcw-x6jjAxios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
- GHSA-3w6x-2g7m-8v23Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-j8rh-479h-cp32Axios: Header Injection via Inherited headers After Minimal Interceptor
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-vh66-26gq-q6x8Axios: Prototype pollution gadget in fetch adapter can alter outbound requests
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-4hjh-wcwx-xvwjAxios is vulnerable to DoS attack through lack of data size check
- GHSA-777c-7fjr-54vfAllocation of Resources Without Limits or Throttling in Axios
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-42h9-826w-cgv3Axios: Excessive recursion in formDataToJSON can cause denial of service
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-jqh4-m9w3-8hp9Axios: Fetch adapter `ReadableStream` uploads bypass `maxBodyLength`
- GHSA-pmv8-rq9r-6j72Axios: Deep formToJSON Key Recursion Can Cause Denial of Service
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
- GHSA-445q-vr5w-6q77Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream
axios 0.27.2欠陥 24 件0.34.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pjwm-pj3p-43mvaxios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-wf5p-g6vw-rhxxAxios Cross-Site Request Forgery Vulnerability
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-9fr6-4gfg-395gAxios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
axios 0.26.1欠陥 23 件0.33.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3g43-6gmg-66jwaxios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
- GHSA-j5f8-grm9-p9fcAxios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
- GHSA-jr5f-v2jv-69x6axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
- GHSA-p92q-9vqr-4j8vAxios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
- GHSA-pjwm-pj3p-43mvaxios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
- GHSA-pmwg-cvhr-8vh7Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
- GHSA-3p68-rc4w-qgx5Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF
- GHSA-fvcv-3m26-pcqxAxios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain
- GHSA-m7pr-hjqh-92cmAxios: no_proxy bypass via IP alias allows SSRF
- GHSA-xx6v-rp6x-q39cAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion
- GHSA-w9j2-pvgh-6h63Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy
- GHSA-wf5p-g6vw-rhxxAxios Cross-Site Request Forgery Vulnerability
- GHSA-43fc-jf86-j433Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
- GHSA-6chq-wfr3-2hj9Axios: Header Injection via Prototype Pollution
- GHSA-pf86-5x62-jrwfAxios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- GHSA-7q8q-rj6j-mhjqAxios: Nested axios option objects can consume polluted prototype values
- GHSA-898c-q2cr-xwhgaxios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions
- GHSA-mmx7-hfxf-jppxAxios: Prototype pollution gadgets can alter axios request construction
- GHSA-xhjh-pmcv-23jwAxios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams
- GHSA-hfxv-24rg-xrqfAxios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
- GHSA-5c9x-8gcm-mpgxAxios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0
- GHSA-62hf-57xw-28j9Axios: unbounded recursion in toFormData causes DoS via deeply nested request data
- GHSA-vf2m-468p-8v99Axios: HTTP adapter streamed responses bypass maxContentLength
react-router 7.0.2欠陥 13 件7.18.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-49rj-9fvp-4h2hReact Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE
- GHSA-337j-9hxr-rhxgReact Router: Arbitrary Constructor Injection via deserializeErrors() in React Router SSR Hydration
- GHSA-h5cw-625j-3rxhReact Router has CSRF issue in Action/Server Action Request Processing
- GHSA-2w69-qvjg-hvjxReact Router vulnerable to XSS via Open Redirects
- GHSA-8v8x-cx79-35w7React Router SSR XSS in ScrollRestoration
- GHSA-3cgp-3xvw-98x8React Router has XSS Vulnerability
- GHSA-2j2x-hqr9-3h42React Router's same-origin redirect with path starting // causes open redirect via protocol-relative URL reinterpretation
- GHSA-wrjc-x8rr-h8h6React Router: Open redirect via backslash in <Link> and useNavigate (CVE-2025-68470 bypass)
- GHSA-9jcx-v3wj-wh4mReact Router has unexpected external redirect via untrusted paths
- GHSA-8x6r-g9mw-2r78React Router vulnerable to DoS via unbounded path expansion in __manifest endpoint
- GHSA-chx6-hx7r-mcp5React Router: Unauthenticated Denial of Service via Inefficient Route Matching
- GHSA-cpj6-fhp6-mr6jReact Router allows pre-render data spoofing on React-Router framework mode
- GHSA-rxv8-25v2-qmq8React Router vulnerable to Denial of Service via reflected user input in single-fetch
launch-editor 2.9.1欠陥 4 件2.14.2 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-587h-7wmj-h5pmlaunch-editor: `fs.existsSync()` existence check can be bypassed on Windows
- GHSA-698v-4r3x-3vcvlaunch-editor: escapeCmdArgs() omits % escaping on Windows
- GHSA-r825-w8mm-5pxwlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editors
- GHSA-v6wh-96g9-6wx3launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows
serialize-javascript 6.0.1欠陥 4 件7.1.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-76p7-773f-r4q5Cross-site Scripting (XSS) in serialize-javascript
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
- GHSA-qj8w-gfj5-8c6vSerialize JavaScript has CPU Exhaustion Denial of Service via crafted array-like objects
serialize-javascript 4.0.0欠陥 2 件7.1.3 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5c6j-r48x-rmvqSerialize JavaScript is Vulnerable to RCE via RegExp.flags and Date.prototype.toISOString()
- GHSA-m5mm-p8h7-m29vSerialize JavaScript: Cross-site scripting (XSS) via unescaped </script at the end of a serialized function body
lodash 4.17.21欠陥 3 件4.18.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r5fr-rjxr-66jclodash vulnerable to Code Injection via `_.template` imports key names
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-xxjr-mmjv-4gpgLodash has Prototype Pollution Vulnerability in `_.unset` and `_.omit` functions
lodash-es 4.17.21欠陥 3 件4.18.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r5fr-rjxr-66jclodash vulnerable to Code Injection via `_.template` imports key names
- GHSA-f23m-r3pf-42rhlodash vulnerable to Prototype Pollution via array path bypass in `_.unset` and `_.omit`
- GHSA-xxjr-mmjv-4gpgLodash has Prototype Pollution Vulnerability in `_.unset` and `_.omit` functions
@modelcontextprotocol/sdk 1.18.1欠陥 7 件1.32.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w48q-cv73-mx4wModel Context Protocol (MCP) TypeScript SDK does not enable DNS rebinding protection by default
- GHSA-6qxp-vccf-f47hMCP TypeScript SDK: OAuth client could send credentials to an authorization server chosen by the MCP server
- GHSA-345p-7cg4-v4c7@modelcontextprotocol/sdk has cross-client data leak via shared server/transport instance reuse
- GHSA-6prh-2h8m-c8cwMCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies
- GHSA-rvq5-wwqv-78pqMCP TypeScript SDK: Server bearer authentication accepted tokens issued for another service
- GHSA-46jr-4wx8-v453MCP TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation
- GHSA-8r9q-7v3j-jr4gAnthropic's MCP TypeScript SDK has a ReDoS vulnerability
nanoid 3.1.30欠陥 5 件3.3.18 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-qrpm-p2h7-hrv2Exposure of Sensitive Information to an Unauthorized Actor in nanoid
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 2.1.11欠陥 4 件3.3.18 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 3.1.32欠陥 4 件3.3.18 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
- GHSA-mwcw-c2x4-8c55Predictable results in nanoid generation when given non-integer values
nanoid 3.3.11欠陥 3 件3.3.18 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xwg4-73v4-xw9wnanoid: Integer Overflow or Wraparound
- GHSA-28wg-ghj8-5hjvnanoid: non-secure generators can loop indefinitely with negative size
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
glob 10.4.5欠陥 1 件10.5.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-5j98-mcp5-4vw2glob CLI: Command injection via -c/--cmd executes matches with shell:true
glob 11.0.3欠陥 1 件11.1.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-5j98-mcp5-4vw2glob CLI: Command injection via -c/--cmd executes matches with shell:true
follow-redirects 1.9.0欠陥 5 件1.16.0 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-74fj-2j2h-c42qExposure of sensitive information in follow-redirects
- GHSA-pw2r-vq6v-hr8cExposure of Sensitive Information to an Unauthorized Actor in follow-redirects
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
- GHSA-cxjh-pqwp-8mfpfollow-redirects' Proxy-Authorization header kept across hosts
- GHSA-jchw-25xp-jwwcFollow Redirects improperly handles URLs in the url.parse() function
sharp 0.30.7欠陥 4 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-54xq-cgqr-rpm3sharp vulnerability in libwebp dependency CVE-2023-4863
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.33.5欠陥 3 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.34.3欠陥 3 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.34.5欠陥 3 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
- GHSA-f88m-g3jw-g9cjsharp inherited vulnerabilities in libvips: CVE-2026-33327, CVE-2026-33328, CVE-2026-35590, CVE-2026-35591
sharp 0.35.3欠陥 2 件0.35.5 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-rgj7-g3m4-5g8csharp: Vulnerabilities in libheif: GHSA-g89c-p67h-r497 and GHSA-2jg2-4ch7-h545
- GHSA-wq5f-xc86-pv6wsharp : Vulnerability in librsvg dependency CVE-2026-96889
js-yaml 3.6.1欠陥 7 件3.15.2 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。
- GHSA-8j8c-7jfh-h6hxCode Injection in js-yaml
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-2pr6-76vf-7546Denial of Service in js-yaml
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
mermaid 10.9.1欠陥 9 件10.9.8 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-6x64-9x62-f2gxMermaid allows CSS injection applying to sibling elements of the diagram
- GHSA-87f9-hvmw-gh4pMermaid: Improper sanitization of configuration leads to CSS injection
- GHSA-ghcm-xqfw-q4vrMermaid: Improper sanitization of `classDef` in state diagrams leads to HTML injection
- GHSA-xcj9-5m2h-648rMermaid: Improper sanitization of `classDefs` in diagrams leads to CSS injection
- GHSA-m4gq-x24j-jpmfPrototype pollution vulnerability found in Mermaid's bundled version of DOMPurify
- GHSA-c4c3-pg64-4m4vMermaid configuration APIs allow prototype pollution
- GHSA-7rqq-prvp-x9jhMermaid improperly sanitizes sequence diagram labels leading to XSS
- GHSA-2v8p-3f2j-5mp7Mermaid XY Charts are vulnerable to an infinite loop DoS
- GHSA-6m6c-36f7-fhxhMermaid Gantt Charts are vulnerable to an Infinite Loop DoS
nodemailer 6.8.0欠陥 19 件10.1.4 で修正動いている場所で、誰かが自分のコードを実行できるおそれがあります。 アカウントがある場合のみ。
- GHSA-vvjj-xcjg-gr5gNodemailer Vulnerable to SMTP Command Injection via CRLF in Transport name Option (EHLO/HELO)
- GHSA-c7w3-x93f-qmm8Nodemailer has SMTP command injection due to unsanitized `envelope.size` parameter
- GHSA-p6gq-j5cr-w38fNodemailer: Message-level raw option bypasses disableFileAccess/disableUrlAccess, enabling arbitrary file read and full-response SSRF in the delivered message
- GHSA-85x2-q946-cp5hNodemailer: A ">" inside a quoted local part ends an angle-addr early in addressparser, delivering to a domain the header does not name
- GHSA-8c8m-p3m8-cjg8Nodemailer: A nested comment ends early in addressparser, releasing the rest of the comment as a recipient
- GHSA-m943-m63m-w62wNodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient
- GHSA-wmmp-3585-3rmpNodemailer: IDN/Punycode domain allow-list bypass leads to email delivery to an attacker-controlled domain
- GHSA-8m3c-c648-2xjjNodemailer: resolveContent() on a MailMessage bypasses disableFileAccess/disableUrlAccess when called with the legacy signature
- GHSA-wqvq-jvpq-h66fNodemailer jsonTransport bypasses disableFileAccess and disableUrlAccess during message normalization
- GHSA-2x7j-588g-ccc2Nodemailer: Quadratic (O(n²)) time complexity in addressparser allows remote denial of service via a crafted address list
- GHSA-rcmh-qjqh-p98vNodemailer’s addressparser is vulnerable to DoS caused by recursive calls
- GHSA-v53p-9fqp-m79jNodemailer: Quadratic backtracking in the addressparser free-text fallback allows remote denial of service
- GHSA-8vvx-rff5-p5rqNodemailer: Nested structured recipient arrays bypass the parser depth limit and cause stack exhaustion DoS
- GHSA-9h6g-pr28-7cqpnodemailer ReDoS when trying to send a specially crafted email
- GHSA-39m8-27wv-hr27Nodemailer: Quadratic (O(n^2)) DKIM header unfolding lets a large folded header cause remote denial of service during signing
- GHSA-r7g4-qg5f-qqm2Nodemailer: Improper TLS Certificate Validation in OAuth2 Token Fetch Enables Credential Interception
- GHSA-6vj9-mwq6-2f5vNodemailer: Process-global DNS cache reuses TLS `servername` across transports, enabling cross-tenant SMTP credential disclosure
- GHSA-mm7p-fcc7-pg87Nodemailer: Email to an unintended domain can occur due to Interpretation Conflict
- GHSA-268h-hp4c-crq3Nodemailer: CRLF injection in Nodemailer List-* header comments allows arbitrary message header injection
swig 1.4.2欠陥 1 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2rq5-699j-x7p6Arbitrary local file read vulnerability during template rendering
mariadb 2.5.6欠陥 5 件3.2.5 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-48qf-xh34-q73rMariaDB Connector/Node.js exposes uninitialized process memory through malformed GeoJSON parameters
- GHSA-r3rv-jm3r-62q2MariaDB Connector/Node.js: SQL injection in the text protocol when the session uses NO_BACKSLASH_ESCAPES
- GHSA-42r5-vhpq-m858MariaDB has Cleartext Transmission of Sensitive Information and Insufficiently Protected Credentials
- GHSA-g5xc-5w98-jfvmMariaDB has possible SQL injection in Buffer parameter escaping under big5/gbk/sjis/cp932/gb18030 client charsets
- GHSA-cqhc-2h57-wpxfMariaDB's connector leaks the cleartext password to an MitM despite `ssl: true`
undici 7.22.0欠陥 27 件7.30.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4cwx-7wf7-3272undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives
- GHSA-2jfj-6hjv-fm6jundici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches
- GHSA-jr45-8vmc-qm54undici vulnerable to cross-user information disclosure via whitespace around equals in Cache-Control directives
- GHSA-pr7r-676h-xcf6undici vulnerable to cross-user information disclosure via shared cache whitespace bypass
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-f269-vfmq-vjvjUndici: Malicious WebSocket 64-bit length overflows parser and crashes the client
- GHSA-rfgv-xxqx-mfg5undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-3xpg-4rpp-hhhmundici vulnerable to Denial of Service via unbounded decompression of compressed responses
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- GHSA-phc3-fgpg-7m6hUndici has Unbounded Memory Consumption in its DeduplicationHandler via Response Buffering that leads to DoS
- GHSA-pmjh-fq2x-6v4xundici vulnerable to Denial of Service via orphaned RetryHandler response body
- GHSA-rx4f-c7p8-82vqundici vulnerable to Denial of Service via WebSocketStream unclean close
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-2gqq-gqf2-x968undici vulnerable to response truncation via oversized chunked responses in the dump interceptor
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-8436-99hf-9mmvundici vulnerable to caching and replay of unsafe HTTP method responses
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
fast-xml-builder 1.1.4欠陥 1 件1.1.7 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5wm8-gmm8-39j9fast-xml-builder allows attribute values with unwanted quotes to bypass malicious or unwanted attributes
postcss 8.4.31欠陥 4 件8.5.23 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-6g55-p6wh-862qPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
- GHSA-qx2v-qp2m-jg93PostCSS has XSS via Unescaped </style> in its CSS Stringify Output
postcss 8.5.6欠陥 4 件8.5.23 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-6g55-p6wh-862qPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments
- GHSA-r28c-9q8g-f849PostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure
- GHSA-fxqj-rqcc-2cmpPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset
- GHSA-qx2v-qp2m-jg93PostCSS has XSS via Unescaped </style> in its CSS Stringify Output
extract-zip 1.7.0欠陥 2 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7pqw-9j4j-h8q3extract-zip allows arbitrary file writes through symlink archive entries
- GHSA-jmr9-qjv8-65gvextract-zip unvalidated symlink path traversal
extract-zip 2.0.1欠陥 2 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7pqw-9j4j-h8q3extract-zip allows arbitrary file writes through symlink archive entries
- GHSA-jmr9-qjv8-65gvextract-zip unvalidated symlink path traversal
tar-fs 2.1.1欠陥 3 件2.1.4 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8cj5-5rvv-wf4vtar-fs can extract outside the specified dir with a specific tarball
- GHSA-pq67-2wwv-3xjxtar-fs Vulnerable to Link Following and Path Traversal via Extracting a Crafted tar File
- GHSA-vj76-c3g6-qr5vtar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball
moment 2.24.0欠陥 2 件2.29.4 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8hfj-j24r-96c4Path Traversal: 'dir/../../filename' in moment.locale
- GHSA-wc69-rhjr-hc9gMoment.js vulnerable to Inefficient Regular Expression Complexity
http-cache-semantics 3.8.1欠陥 2 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
- GHSA-rc47-6667-2j5jhttp-cache-semantics vulnerable to Regular Expression Denial of Service
http-cache-semantics 4.1.0欠陥 2 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ch52-4w7c-c8xphttp-cache-semantics max-stale handling can disclose cross-user cached responses
- GHSA-rc47-6667-2j5jhttp-cache-semantics vulnerable to Regular Expression Denial of Service
fast-uri 3.0.6欠陥 12 件3.1.9 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f65p-4m7j-42xcfast-uri vulnerable to server-side request forgery via malformed IPv6 normalization
- GHSA-q3j6-qgpj-74h6fast-uri vulnerable to path traversal via percent-encoded dot segments
- GHSA-4c8g-83qw-93j6fast-uri vulnerable to host confusion via failed IDN canonicalization
- GHSA-7p8r-x3mc-p8w7fast-uri vulnerable to host confusion via backslash authority introducer
- GHSA-jqff-g426-hqxpfast-uri vulnerable to host confusion via percent-encoded scheme normalization
- GHSA-v2hh-gcrm-f6hxfast-uri vulnerable to host confusion via literal backslash authority delimiter
- GHSA-v39h-62p7-jpjcfast-uri vulnerable to host confusion via percent-encoded authority delimiters
- GHSA-qw65-cvwx-89v3fast-uri vulnerable to authority injection via an unvalidated port in serialize
- GHSA-333x-w4r6-6crpfast-uri vulnerable to scheme injection via an unescaped first-segment colon in suffix references
- GHSA-hrr3-gc8f-f4qjfast-uri vulnerable to inconsistent host case normalization via percent-encoded octets
- GHSA-w74x-v6f9-j3xgfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769hfast-uri vulnerable to improper path equivalence in relative reference normalization
webpack-dev-middleware 6.1.3欠陥 1 件7.4.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
webpack-dev-middleware 7.4.2欠陥 1 件7.4.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-g84c-rxfj-3j2cwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath
rollup 2.35.1欠陥 2 件2.80.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mw96-cpmx-2vgcRollup 4 has Arbitrary File Write via Path Traversal
- GHSA-gcx4-mw62-g8wmDOM Clobbering Gadget found in rollup bundled scripts that leads to XSS
ip-address 5.9.4欠陥 6 件10.7.4 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mwp4-54f8-5fhrip-address: Address4 decodes leading-zero octets as decimal while resolvers decode them as octal, allowing SSRF and trust-boundary bypass
- GHSA-rpw4-54j3-4h4qip-address: Address6.isLinkLocal() recognizes fe80::/64 rather than fe80::/10, allowing SSRF and trust-boundary bypass to on-link hosts
- GHSA-v2v4-37r5-5v8gip-address has XSS in Address6 HTML-emitting methods
- GHSA-h3mg-xc3c-68pwip-address: Address6 builds a parse diagnostic proportional to the input with no length bound, allowing a single long string to stall or crash the process
- GHSA-rxp7-6hxx-x8q5ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process
- GHSA-j6r3-76f7-8jcvip-address: isInSubnet() and isHostInSubnet() compare addresses of different families as if they shared an address space, allowing an allowlist check to admit an address outside its range
ip-address 9.0.5欠陥 6 件10.7.4 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mwp4-54f8-5fhrip-address: Address4 decodes leading-zero octets as decimal while resolvers decode them as octal, allowing SSRF and trust-boundary bypass
- GHSA-rpw4-54j3-4h4qip-address: Address6.isLinkLocal() recognizes fe80::/64 rather than fe80::/10, allowing SSRF and trust-boundary bypass to on-link hosts
- GHSA-v2v4-37r5-5v8gip-address has XSS in Address6 HTML-emitting methods
- GHSA-h3mg-xc3c-68pwip-address: Address6 builds a parse diagnostic proportional to the input with no length bound, allowing a single long string to stall or crash the process
- GHSA-rxp7-6hxx-x8q5ip-address: Address6 matches a zone identifier in quadratic time ahead of its length limit, allowing a single long string to stall the process
- GHSA-j6r3-76f7-8jcvip-address: isInSubnet() and isHostInSubnet() compare addresses of different families as if they shared an address space, allowing an allowlist check to admit an address outside its range
tar-fs 3.1.0欠陥 1 件3.1.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-vj76-c3g6-qr5vtar-fs has a symlink validation bypass if destination directory is predictable with a specific tarball
node-fetch 1.7.3欠陥 1 件2.6.7 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-r683-j2x4-v87gnode-fetch forwards secure headers to untrusted sites
node-fetch 2.6.1欠陥 1 件2.6.7 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-r683-j2x4-v87gnode-fetch forwards secure headers to untrusted sites
moment 2.29.4欠陥 1 件2.31.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4p3w-j4w9-5jqwmoment vulnerable to Path Traversal via crafted non-string locale name
webpack-dev-server 5.2.0欠陥 6 件5.2.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4v9v-hfq4-rm2vwebpack-dev-server users' source code may be stolen when they access a malicious web site
- GHSA-79cf-xcqc-c78wwebpack-dev-server vulnerable to cross-origin source code exposure on non-HTTPS origins
- GHSA-9jgg-88mc-972hwebpack-dev-server users' source code may be stolen when they access a malicious web site with non-Chromium based browser
- GHSA-f5vj-f2hx-8m93webpack-dev-server vulnerable to cross-site request forgery via internal developer endpoints
- GHSA-m28w-2pqf-7qgjwebpack-dev-server vulnerable to denial of service via a malformed Host or Origin header
- GHSA-mx8g-39q3-5c79webpack-dev-server vulnerable to HMR WebSocket interception via permissive user proxies
esbuild 0.23.1欠陥 1 件0.25.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-67mh-4wv8-2f99esbuild enables any website to send any requests to the development server and read the response
apollo-server-core 3.13.0欠陥 1 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-9q82-xgwf-vj6hApollo Server: Browser bug allows for bypass of XS-Search (read-only Cross-Site Request Forgery) prevention
request 2.88.2欠陥 1 件見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p8p7-x288-28g6Server-Side Request Forgery in Request
@opentelemetry/instrumentation-knex 0.44.1欠陥 1 件0.65.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mongoose 0.46.1欠陥 1 件0.67.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mysql 0.45.1欠陥 1 件0.67.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-mysql2 0.45.2欠陥 1 件0.67.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-pg 0.51.1欠陥 1 件0.73.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
@opentelemetry/instrumentation-tedious 0.18.1欠陥 1 件0.40.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qqmp-wf37-98f9Multiple @opentelemetry/instrumentation-* packages expose database username via unconditional db.user span attribute
follow-redirects 1.15.9欠陥 1 件1.16.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
follow-redirects 1.15.11欠陥 1 件1.16.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-r4q5-vmmm-2653follow-redirects leaks Custom Authentication Headers to Cross-Domain Redirect Targets
ws 8.2.3欠陥 3 件8.21.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.14.2欠陥 3 件8.21.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.18.0欠陥 2 件8.21.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 8.18.3欠陥 2 件8.21.0 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-58qx-3vcg-4xpxws: Uninitialized memory disclosure
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
undici 5.26.3欠陥 18 件6.28.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-3787-6prv-h9w3Undici proxy-authorization header not cleared on cross-origin redirect in fetch
- GHSA-m4v8-wqvr-p9f7Undici's Proxy-Authorization header not cleared on cross-origin redirect for dispatch, request, stream, pipeline
- GHSA-9qxr-qj54-h672Undici's fetch with integrity option is too lax when algorithm is specified but hash value is in incorrect
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-v9p9-hfj2-hcw8Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
- GHSA-vrm6-8vpv-qv8qUndici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-g9mf-h72j-4rw9Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion
- GHSA-cxrh-j4jr-qwg3undici Denial of Service attack via bad certificate data
- GHSA-c76h-2ccp-4975Use of Insufficiently Random Values in undici
- GHSA-2mjp-6q6p-2qxmUndici has an HTTP Request/Response Smuggling issue
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-4992-7rv2-5pvqUndici has CRLF Injection in undici via `upgrade` option
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
webpack 5.99.9欠陥 2 件5.104.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- GHSA-38r7-794h-5758webpack buildHttp HttpUriPlugin allowedUris bypass via HTTP redirects → SSRF + cache persistence
- GHSA-8fgc-7cc6-rx7xwebpack buildHttp: allowedUris allow-list bypass via URL userinfo (@) leading to build-time SSRF behavior
@babel/core 7.29.0欠陥 1 件7.29.6 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-4x5r-pxfx-6jf8@babel/core: Arbitrary File Read via sourceMappingURL Comment
node-forge 1.3.1欠陥 7 件誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5gfm-wpxj-wjgqnode-forge has an Interpretation Conflict vulnerability via its ASN.1 Validator Desynchronization
- GHSA-554w-wpv2-vw27node-forge has ASN.1 Unbounded Recursion
- GHSA-5m6q-g25r-mvwxForge has Denial of Service via Infinite Loop in BigInteger.modInverse() with Zero Input
- GHSA-2328-f5f3-gj25Forge has a basicConstraints bypass in its certificate chain verification (RFC 5280 violation)
- GHSA-86w9-cpqp-85rvnode-forge RSA PKCS#1 v1.5 signature verification accepts extra nested DigestAlgorithm elements
- GHSA-q67f-28xg-22rwForge has signature forgery in Ed25519 due to missing S > L check
- GHSA-65ch-62r8-g69gnode-forge is vulnerable to ASN.1 OID Integer Truncation
browserslist 4.24.5欠陥 2 件4.28.7 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-73wf-gq98-2v4gBrowserslist: Uncaught crash / prototype write via untrusted browserslist-stats.json custom stats (normalizeStats)
- GHSA-c83g-rgw3-j3cxBrowserslist: Unbounded memory growth (no cache eviction) via distinct query results, leading to eventual OOM
@graphql-tools/utils 8.9.0欠陥 1 件12.0.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7mx3-vvmw-hjmvGraphQL Tools has prototype pollution in well-established utility function `mergeDeep`
@graphql-tools/utils 9.2.1欠陥 1 件12.0.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7mx3-vvmw-hjmvGraphQL Tools has prototype pollution in well-established utility function `mergeDeep`
y18n 4.0.0欠陥 1 件4.0.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-c4w7-xm78-47vhPrototype Pollution in y18n
dot-prop 4.2.0欠陥 1 件4.2.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ff7x-qrg7-qggmdot-prop Prototype Pollution vulnerability
form-data 2.5.5欠陥 1 件2.5.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
form-data 4.0.5欠陥 1 件4.0.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hmw2-7cc7-3qxxform-data: CRLF injection in form-data via unescaped multipart field names and filenames
qs 6.7.0欠陥 4 件6.16.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hrpp-h998-j3ppqs vulnerable to Prototype Pollution
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.5.2欠陥 3 件6.16.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-hrpp-h998-j3ppqs vulnerable to Prototype Pollution
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
sqlite3 5.1.2欠陥 1 件5.1.5 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-jqv5-7xpx-qj74sqlite vulnerable to code execution due to Object coercion
lodash.pick 4.4.0欠陥 1 件誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p6mc-m468-83gwPrototype Pollution in lodash
@grpc/grpc-js 0.8.1欠陥 6 件1.13.6 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-pp75-xfpw-37g9Prototype pollution in grpc and @grpc/grpc-js
- GHSA-5375-pq7m-f5r2@grpc/grpc-js: A malformed request can cause a server crash
- GHSA-99f4-grh7-6pcq@grpc/grpc-js: An incoming malformed compressed message can cause a client or server crash
- GHSA-m9gg-hp2v-232j@grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized
- GHSA-7v5v-9h63-cj86@grpc/grpc-js can allocate memory for incoming messages well above configured limits
- GHSA-f596-whhp-79r4@grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages
devalue 2.0.1欠陥 10 件5.9.3 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-vj54-72f3-p5jvdevalue prototype pollution vulnerability
- GHSA-4q55-j62x-fr9hdevalue: Malformed null-prototype object keys bypass __proto__ rejection via property-key coercion
- GHSA-cfw5-2vxh-hr84devalue has prototype pollution in devalue.parse and devalue.unflatten
- GHSA-8qm3-746x-r74rdevalue `uneval`ed code can create objects with polluted prototypes when `eval`ed
- GHSA-mcm9-63f2-9j32devalue: Repeated primitive strings cause quadratic expansion in uneval
- GHSA-r9w8-h9r3-54w4devalue: Custom ArrayBuffer revivers can bypass typed-array allocation validation
- GHSA-9rgm-9g3h-6x36Svelte devalue: DoS via malformed input
- GHSA-hx4r-w6wj-j8fgdevalue: Residual sparse-array CPU amplification in uneval
- GHSA-33hq-fvwr-56pmdevalue affected by CPU and memory amplification from sparse arrays
- GHSA-wf3x-273g-mvxvdevalue: Sparse arrays emitted by uneval cause eager allocation when evaluated
json5 1.0.1欠陥 1 件1.0.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 アカウントがある場合のみ。
- GHSA-9c47-m6qq-7p4hPrototype Pollution in JSON5 via Parse Method
jsonpointer 4.1.0欠陥 1 件5.0.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-282f-qqgm-c34qPrototype Pollution in node-jsonpointer
picomatch 4.0.1欠陥 2 件4.0.4 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3v7f-55p6-f55pPicomatch: Method Injection in POSIX Character Classes causes incorrect Glob Matching
- GHSA-c2c7-rcm5-vvqjPicomatch has a ReDoS vulnerability via extglob quantifiers
mdast-util-to-hast 13.2.0欠陥 1 件13.2.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4fh9-h7wg-q85mmdast-util-to-hast has unsanitized class attribute
mongoose 8.23.0欠陥 1 件8.24.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-664h-wqgq-64gwMongoose: Prototype pollution in mongoose update casting via __proto__-prefixed dotted path (Schema._getSchema/path getter)
tough-cookie 2.5.0欠陥 1 件4.1.3 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-72xf-g2v4-qvf3tough-cookie Prototype Pollution vulnerability
tough-cookie 4.1.2欠陥 1 件4.1.3 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-72xf-g2v4-qvf3tough-cookie Prototype Pollution vulnerability
xml2js 0.2.8欠陥 1 件0.5.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
xml2js 0.4.19欠陥 1 件0.5.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
xml2js 0.4.23欠陥 1 件0.5.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-776f-qx25-q3ccxml2js is vulnerable to prototype pollution
msgpack5 4.5.1欠陥 7 件6.1.0 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8hq7-ggx2-cc6mmsgpack5: Partial options disable prototype protection
- GHSA-qw35-55vc-rhgjmsgpack5: Decoding negative int64 values mutates the input buffer
- GHSA-5x5g-h9x8-2fh9msgpack5: Many buffered values can exhaust the streaming decoder stack
- GHSA-8f34-f56x-9xphmsgpack5: Truncated map32 headers throw an unexpected error
- GHSA-24ch-f2g6-9hhhmsgpack5: Deeply nested input can exhaust the decoder stack
- GHSA-26wq-p25c-j6fvmsgpack5: Reserved byte can cause unbounded stream buffering
- GHSA-gcx5-hxj7-gpqqmsgpack5: Quadratic parsing in the streaming decoder
dompurify 3.1.5欠陥 23 件誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-cj63-jhhr-wcxvDOMPurify USE_PROFILES prototype pollution allows event handlers
- GHSA-r47g-fvhr-h676DOMPurify: IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM
- GHSA-v9jr-rg53-9pgpDOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING Fallback
- GHSA-cmwh-pvxp-8882DOMPurify: Permanent `ALLOWED_ATTR` pollution via `setConfig()` bypassing the hook clone-guard (incomplete fix of the 3.4.7 hook-pollution patch)
- GHSA-mrv2-3pqr-j5jrDOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)
- GHSA-crv5-9vww-q3g8DOMPurify has a SAFE_FOR_TEMPLATES bypass in RETURN_DOM mode
- GHSA-h7mw-gpvr-xq4mDOMPurify: FORBID_TAGS bypassed by function-based ADD_TAGS predicate (asymmetry with FORBID_ATTR fix)
- GHSA-h8r8-wccr-v5f2DOMPurify is vulnerable to mutation-XSS via Re-Contextualization
- GHSA-hpcv-96wg-7vj8DOMPurify: Cross-realm IN_PLACE sanitization leaves executable markup intact via realm-bound `instanceof` checks
- GHSA-rp9w-3fw7-7cwqDOMPurify IN_PLACE Sanitization Bypass via Attached Shadow Root Inside <template>.content
- GHSA-v2wj-7wpq-c8vvDOMPurify contains a Cross-site Scripting vulnerability
- GHSA-v8jm-5vwx-cfxmDOMPurify contains a Cross-site Scripting vulnerability
- GHSA-55q2-fjhq-7xh7DOMPurify: IN_PLACE hook removal leaves a detached subtree executable, causing XSS
- GHSA-vhxf-7vqr-mrjgDOMPurify allows Cross-site Scripting (XSS)
- GHSA-c2j3-45gr-mqc4DOMPurify: `CUSTOM_ELEMENT_HANDLING` bypasses `afterSanitizeElements` for allowed custom elements.
- GHSA-gvmj-g25r-r7wrDOMPurify: SAFE_FOR_TEMPLATES bypass - template expressions survive sanitization inside <template> content when using DOM output modes
- GHSA-6688-9rhm-gjv2DOMPurify: IN_PLACE returns a force-removed rawtext root whose text carries attacker markup — pure HTML reparse executes
- GHSA-c6gr-qvv4-5v3fDOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml
- GHSA-x4vx-rjvf-j5p4DOMPurify: `IN_PLACE` mode trusts attacker-controlled `nodeName` on live non-form nodes, allowing script retention and XSS via attacker-supplied DOM objects
- GHSA-39q2-94rc-95cpDOMPurify's ADD_TAGS function form bypasses FORBID_TAGS due to short-circuit evaluation
- GHSA-76mc-f452-cxcmDOMPurify: Hook mutation of `data.allowedTags` / `data.allowedAttributes` permanently pollutes `DEFAULT_ALLOWED_TAGS` / `DEFAULT_ALLOWED_ATTR`
- GHSA-cjmm-f4jc-qw8rDOMPurify ADD_ATTR predicate skips URI validation
- GHSA-vxr8-fq34-vvx9DOMPurify: Trusted Types policy survives `clearConfig()` and can poison later `RETURN_TRUSTED_TYPE` output
ejs 3.1.8欠陥 1 件3.1.10 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-ghr5-ch3p-vcr6ejs lacks certain pollution protection
protocol-buffers-schema 3.6.0欠陥 1 件3.6.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-j452-xhg8-qg39Mafintosh's protocol-buffers-schema is vulnerable to prototype pollution
js-yaml 4.1.0欠陥 5 件4.3.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mh29-5h37-fv8mjs-yaml has prototype pollution in merge (<<)
- GHSA-2883-xcg3-v3hhjs-yaml: maxTotalMergeKeys does not limit CPU use for empty merge sources
- GHSA-52cp-r559-cp3mjs-yaml: YAML merge-key chains can force quadratic CPU consumption
- GHSA-5p4m-2wfm-xmqjJS-YAML: Quadratic CPU consumption in !!omap resolution (3.x and 4.x) — CVE-2026-59870 fix not backported
- GHSA-h67p-54hq-rp68JS-YAML: Quadratic-complexity DoS in merge key handling via repeated aliases
undici 6.24.1欠陥 11 件6.29.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p88m-4jfj-68fvundici vulnerable to HTTP header injection via Set-Cookie percent-decoding
- GHSA-rfgv-xxqx-mfg5undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
- GHSA-vxpw-j846-p89qundici WebSocket client vulnerable to denial of service via fragment count bypass
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
- GHSA-8xcm-r25x-g524undici vulnerable to downstream response desynchronization via retry interceptor
- GHSA-m8rv-5g2x-5cg5undici vulnerable to CRLF Injection via blob-like body 'type' property
- GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields
- GHSA-35p6-xmwp-9g52undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse
- GHSA-g8m3-5g58-fq7mundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching
- GHSA-r53p-7pc4-xj5rundici vulnerable to downstream response splitting via retry interceptor
joi 17.13.3欠陥 5 件17.13.8 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-wr44-6hxh-3jwqjoi messages compilation allows prototype replacement through __proto__ error codes
- GHSA-6w3j-5fw6-r9vrjoi: Prototype pollution via a `__proto__` language key in custom messages
- GHSA-gg4h-3hg2-grpcjoi: object().rename() with a template target can set the validated object's prototype
- GHSA-6h2x-m376-mqjqjoi: Quadratic regular-expression backtracking in `Joi.string().isoDate()`
- GHSA-q7cg-457f-vx79joi has an uncaught RangeError on deeply nested input through recursive `link()` schemas
yargs-parser 15.0.0欠陥 1 件15.0.1 で修正誰かがデータやファイルを書き換えられるおそれがあります。 マシンにアクセスできる場合のみ。
- GHSA-p9pc-299p-vxgpyargs-parser Vulnerable to Prototype Pollution
katex 0.16.10欠陥 2 件0.18.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-238p-pmpm-9mq7KaTeX: Existing prototype pollution can bypass trust restrictions
- GHSA-cg87-wmx4-v546KaTeX \htmlData does not validate attribute names
svgo 3.3.2欠陥 4 件3.3.5 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2p49-hgcm-8545SVGO removeScripts plugin leaves some executable scripts intact
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
- GHSA-xpqw-6gx7-v673SVGO DoS through entity expansion in DOCTYPE (Billion Laughs)
svgo 1.3.2欠陥 3 件2.8.4 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2p49-hgcm-8545SVGO removeScripts plugin leaves some executable scripts intact
- GHSA-w27v-7q3p-w38rSVGO: removeScripts allows executable links through namespace and control-character bypasses
- GHSA-4vpr-x523-8j87SVGO: removeScripts incompletely sanitizes executable HTML in SVG foreignObject elements
vega 5.33.0欠陥 1 件6.2.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-expression 5.1.2欠陥 1 件5.2.1 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-expression 5.2.0欠陥 1 件5.2.1 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7f2v-3qq3-vvjfVega Cross-Site Scripting (XSS) via expressions abusing toString calls in environments using the VEGA_DEBUG global variable
vega-selections 5.6.0欠陥 1 件5.6.3 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-829q-m3qg-ph8rVega XSS via expression abusing vlSelectionTuples function array map calls in environments with satisfactory function gadgets in the global scope
@vue/server-renderer 3.5.17欠陥 1 件3.5.42 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-g2v6-rqmx-r4w6@vue/server-renderer: XSS via missing CR in attribute-name blacklist
vega-functions 5.18.0欠陥 1 件6.1.1 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-m9rg-mr6g-75gm`vega-functions` vulnerable to Cross-site Scripting via `setdata` function
express 4.17.0欠陥 2 件4.20.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rv95-896h-c2vcExpress.js Open Redirect in malformed URLs
- GHSA-qw6h-vgh9-j6wxexpress vulnerable to XSS via response.redirect()
firebase 7.14.5欠陥 1 件10.9.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 アカウントがある場合のみ。
- GHSA-3wf4-68gx-mph8Firebase JavaScript SDK allows attackers to manipulate the "_authTokenSyncURL" to point to their own server
firebase 7.24.0欠陥 1 件10.9.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 アカウントがある場合のみ。
- GHSA-3wf4-68gx-mph8Firebase JavaScript SDK allows attackers to manipulate the "_authTokenSyncURL" to point to their own server
serve-static 1.14.1欠陥 1 件1.16.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-cm22-4g7w-348pserve-static vulnerable to template injection that can lead to XSS
send 0.17.1欠陥 1 件0.19.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-m6fv-jmcg-4jfgsend vulnerable to template injection that can lead to XSS
send 0.18.0欠陥 1 件0.19.0 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-m6fv-jmcg-4jfgsend vulnerable to template injection that can lead to XSS
minimatch 5.1.0欠陥 3 件5.1.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
minimatch 5.1.6欠陥 3 件5.1.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-23c5-xmqv-rm74minimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions
- GHSA-3ppc-4f35-3m26minimatch has a ReDoS via repeated wildcards with non-matching literal in pattern
- GHSA-7r86-cg39-jmmjminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments
body-parser 1.19.0欠陥 3 件1.20.9 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-qwcr-r2fm-qrc7body-parser vulnerable to denial of service when url encoding is enabled
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 2.2.0欠陥 3 件2.4.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-wqch-xfxh-vrr4body-parser is vulnerable to denial of service when url encoding is used
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 1.20.3欠陥 2 件1.20.9 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
body-parser 1.20.4欠陥 2 件1.20.9 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-27r3-jxmh-p828body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
- GHSA-v422-hmwv-36x6body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement
path-to-regexp 0.1.7欠陥 2 件0.1.13 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-37ch-88jc-xwx2path-to-regexp vulnerable to Regular Expression Denial of Service via multiple route parameters
- GHSA-rhx6-c78j-4q9wpath-to-regexp contains a ReDoS
path-to-regexp 0.1.12欠陥 1 件0.1.13 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-37ch-88jc-xwx2path-to-regexp vulnerable to Regular Expression Denial of Service via multiple route parameters
ws 3.3.3欠陥 2 件5.2.5 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 6.2.2欠陥 2 件6.2.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 7.4.6欠陥 2 件7.5.11 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
ws 7.5.9欠陥 2 件7.5.11 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3h5v-q93c-6h6qws affected by a DoS when handling a request with many HTTP headers
- GHSA-96hv-2xvq-fx4pws: Memory exhaustion DoS from tiny fragments and data chunks
brace-expansion 5.0.6欠陥 6 件5.0.12 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3jxr-9vmj-r5cpbrace-expansion: DoS via exponential-time expansion of consecutive non-expanding {} groups
- GHSA-6j4f-fj2g-mc7pbrace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion
- GHSA-mh99-v99m-4gvgbrace-expansion: DoS via unbounded expansion length causing an out-of-memory process crash
- GHSA-qhr7-859c-m2p7brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion
- GHSA-rgw5-rvv9-x895brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation
- GHSA-q2hr-2g5m-vwhrbrace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service
loader-utils 3.1.3欠陥 2 件3.2.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3rfm-jhwj-7488loader-utils is vulnerable to Regular Expression Denial of Service (ReDoS) via url variable
- GHSA-hhq3-ff78-jv3gloader-utils is vulnerable to Regular Expression Denial of Service (ReDoS)
cross-spawn 6.0.5欠陥 1 件6.0.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-3xgq-45jj-v275Regular Expression Denial of Service (ReDoS) in cross-spawn
@grpc/grpc-js 1.14.3欠陥 4 件1.14.5 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5375-pq7m-f5r2@grpc/grpc-js: A malformed request can cause a server crash
- GHSA-99f4-grh7-6pcq@grpc/grpc-js: An incoming malformed compressed message can cause a client or server crash
- GHSA-m9gg-hp2v-232j@grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized
- GHSA-f596-whhp-79r4@grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages
image-size 1.2.1欠陥 2 件2.0.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5p2g-fcmc-qvqqimage-size: JXL and HEIF parsers allow denial of service through infinite loops
- GHSA-w3rx-r6r6-pgprimage-size: ICNS parser allows denial of service through an infinite loop
trim-newlines 3.0.0欠陥 1 件3.0.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7p7h-4mm5-852vUncontrolled Resource Consumption in trim-newlines
is-svg 3.0.0欠陥 2 件4.3.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-7r28-3m3f-r2prRegular Expression Denial of Service (ReDoS)
- GHSA-r8j5-h5cx-65ggReDOS in IS-SVG
ansi-regex 4.1.0欠陥 1 件4.1.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-93q8-gq69-wqmwInefficient Regular Expression Complexity in chalk/ansi-regex
path-to-regexp 6.1.0欠陥 1 件6.3.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-9wv6-86v2-598jpath-to-regexp outputs backtracking regular expressions
semver 5.7.1欠陥 1 件5.7.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
semver 7.3.2欠陥 1 件7.5.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
semver 7.3.7欠陥 1 件7.5.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-c2qf-rxjj-qqgwsemver vulnerable to Regular Expression Denial of Service
uglify-js 2.4.24欠陥 1 件2.6.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-c9f4-xj24-8jqxRegular Expression Denial of Service in uglify-js
websocket-extensions 0.1.3欠陥 1 件0.1.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-g78m-2chm-r7qvRegular Expression Denial of Service in websocket-extensions (NPM package)
braces 2.3.2欠陥 1 件3.0.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-grv7-fg5c-xmjgUncontrolled resource consumption in braces
braces 3.0.2欠陥 1 件3.0.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-grv7-fg5c-xmjgUncontrolled resource consumption in braces
path-to-regexp 8.3.0欠陥 2 件8.4.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-j3q9-mxjg-w52fpath-to-regexp vulnerable to Denial of Service via sequential optional groups
- GHSA-27v5-c462-wpq7path-to-regexp vulnerable to Regular Expression Denial of Service via multiple wildcards
zod 3.24.4欠陥 1 件4.6.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
zod 3.25.67欠陥 1 件4.6.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-mrhx-c7xc-m3w5Zod can exhaust memory while validating oversized constrained collections
css-what 1.0.0欠陥 1 件2.1.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-p28h-cc7q-c4fgcss-what vulnerable to ReDoS due to use of insecure regular expression
octokit 3.1.0欠陥 1 件3.1.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-pwfr-8pq7-x9qvUnauthenticated Denial of Service in the octokit/webhooks library
normalize-url 4.5.0欠陥 1 件4.5.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-px4h-xg32-q955ReDoS in normalize-url
underscore 1.13.6欠陥 1 件1.13.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-qpx9-hpmf-5gmwUnderscore has unlimited recursion in _.flatten and _.isEqual, potential for DoS attack
nth-check 1.0.2欠陥 1 件2.0.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rp65-9cf3-cjxrInefficient Regular Expression Complexity in nth-check
turbo-stream 2.4.0欠陥 1 件3.0.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rxv8-25v2-qmq8React Router vulnerable to Denial of Service via reflected user input in single-fetch
compression 1.7.4欠陥 1 件1.8.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-vc2v-76pw-4v95compression vulnerable to Denial of Service via memory leak on premature response close
decode-uri-component 0.2.0欠陥 2 件0.5.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w573-4hg7-7wgqdecode-uri-component vulnerable to Denial of Service (DoS)
- GHSA-vcc3-ghjq-m6frdecode-uri-component: Denial of service via exponential decoding of malformed percent-encoded input
dd-trace 4.12.0欠陥 1 件5.100.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-wxqq-gcq8-c443dd-trace-js: Improper parsing of W3C baggage headers may lead to DoS
@fastify/busboy 3.2.0欠陥 3 件3.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-xjh9-v7x6-24jw@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
@fastify/busboy 2.0.0欠陥 2 件3.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-x8mw-p69m-v3mx@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header
- GHSA-gxm5-99cw-xjw9@fastify/busboy vulnerable to CRLF injection via multipart Content-Disposition filename and name
ajv 8.16.0欠陥 1 件8.18.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2g4f-4pwh-qvx6ajv has ReDoS when using `$data` option
colord 2.9.3欠陥 1 件2.9.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2wm5-q62r-hmrvColord: Slow rejection of oversized malformed color strings
bn.js 4.11.9欠陥 1 件4.12.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 4.12.0欠陥 1 件4.12.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 5.1.2欠陥 1 件5.2.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
bn.js 5.2.1欠陥 1 件5.2.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-378v-28hj-76wfbn.js affected by an infinite loop
hosted-git-info 2.8.5欠陥 1 件2.8.9 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-43f8-2h32-f4cjRegular Expression Denial of Service in hosted-git-info
qs 6.13.0欠陥 4 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.14.0欠陥 4 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.11.0欠陥 3 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
- GHSA-w7fw-mjwx-w883qs's arrayLimit bypass in comma parsing allows denial of service
qs 6.14.2欠陥 3 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
qs 6.15.0欠陥 3 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-q8mj-m7cp-5q26qs has a remotely triggerable DoS: qs.stringify crashes with TypeError on null/undefined entries in comma-format arrays when encodeValuesOnly is set
- GHSA-x5fp-wj9c-mxmxqs array-limit bypass via bracket-key comma parsing
qs 6.5.3欠陥 2 件6.16.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-4mjr-xmp4-gh2gqs: Denial of Service via Attacker Controlled isBuffer
- GHSA-6rw7-vpxm-498pqs's arrayLimit bypass in its bracket notation allows DoS via memory exhaustion
file-type 16.5.4欠陥 1 件21.3.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-5v7r-6r5c-r473file-type affected by infinite loop in ASF parser on malformed input with zero-size sub-header
parseuri 0.0.6欠陥 1 件誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-6fx8-h7jm-663jparse-uri Regular expression Denial of Service (ReDoS)
@opentelemetry/core 1.15.2欠陥 1 件2.8.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8988-4f7v-96qfOpenTelemetry Core: Unbounded memory allocation in W3C Baggage propagation
@opentelemetry/core 1.30.1欠陥 1 件2.8.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-8988-4f7v-96qfOpenTelemetry Core: Unbounded memory allocation in W3C Baggage propagation
micromatch 3.1.10欠陥 1 件4.0.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
micromatch 4.0.4欠陥 1 件4.0.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
micromatch 4.0.5欠陥 1 件4.0.8 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-952p-6rrq-rcjvRegular Expression Denial of Service (ReDoS) in micromatch
@firebase/util 0.2.47欠陥 1 件0.3.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-fpm5-vv97-jfwgUncontrolled Resource Consumption in firebase
@firebase/util 0.3.2欠陥 1 件0.3.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-fpm5-vv97-jfwgUncontrolled Resource Consumption in firebase
cookiejar 2.1.2欠陥 1 件2.1.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h452-7996-h45hcookiejar Regular Expression Denial of Service via Cookie.parse function
cookiejar 2.1.3欠陥 1 件2.1.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h452-7996-h45hcookiejar Regular Expression Denial of Service via Cookie.parse function
@octokit/plugin-paginate-rest 8.0.0欠陥 1 件9.2.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-h5c3-5r3r-rr8q@octokit/plugin-paginate-rest has a Regular Expression in iterator Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
fast-copy 3.0.2欠陥 1 件3.1.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-jggr-w7fw-pc2jfast-copy: Stack exhaustion in fast-copy when copying deeply-nested values
fflate 0.7.4欠陥 1 件0.7.5 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-px8p-9vwx-vf98fflate unzipSync can enter an infinite loop when parsing malformed ZIP64 archives
postcss-selector-parser 6.1.2欠陥 2 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
- GHSA-w9m9-85wc-3x92postcss-selector-parser allows denial of service through uncontrolled AST recursion
postcss-selector-parser 7.1.0欠陥 2 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
- GHSA-w9m9-85wc-3x92postcss-selector-parser allows denial of service through uncontrolled AST recursion
postcss-selector-parser 3.1.1欠陥 1 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 5.0.0欠陥 1 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 6.0.10欠陥 1 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 6.0.11欠陥 1 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
postcss-selector-parser 7.0.0欠陥 1 件7.1.6 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rj75-hqrm-r3gfPostCSS: Quadratic complexity in flat selector parsing allows CPU exhaustion
@octokit/request 8.1.1欠陥 1 件8.4.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-rmvr-2pp2-xj38@octokit/request has a Regular Expression in fetchWrapper that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
baseline-browser-mapping 2.9.17欠陥 1 件2.11.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
baseline-browser-mapping 2.10.8欠陥 1 件2.11.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-w5vr-8v7q-w6rvbaseline-browser-mapping process termination on invalid input causes denial of service
@octokit/request-error 5.0.0欠陥 1 件5.1.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-xx4v-prfh-6cgc@octokit/request-error has a Regular Expression in index that Leads to ReDoS Vulnerability Due to Catastrophic Backtracking
yaml 2.3.4欠陥 1 件2.8.3 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 アカウントがある場合のみ。
- GHSA-48c2-rrv3-qjmpyaml is vulnerable to Stack Overflow via deeply nested YAML collections
engine.io 3.6.0欠陥 1 件3.6.1 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 アカウントがある場合のみ。
- GHSA-r7qp-cfhv-p84wUncaught exception in engine.io
diff 4.0.2欠陥 1 件4.0.4 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-73rr-hh4g-fpgxjsdiff has a Denial of Service vulnerability in parsePatch and applyPatch
@ai-sdk/provider-utils 2.2.8欠陥 1 件3.0.28 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 アカウントがある場合のみ。
- GHSA-866g-f22w-33x8@ai-sdk/provider-utils has an Uncontrolled Resource Consumption issue
@ai-sdk/provider-utils 3.0.21欠陥 1 件3.0.28 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 アカウントがある場合のみ。
- GHSA-866g-f22w-33x8@ai-sdk/provider-utils has an Uncontrolled Resource Consumption issue
es5-ext 0.10.53欠陥 1 件0.10.63 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。
- GHSA-4gmj-3p3h-gm8hes5-ext vulnerable to Regular Expression Denial of Service in `function#copy` and `function#toStringTokens`
es5-ext 0.10.62欠陥 1 件0.10.63 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。
- GHSA-4gmj-3p3h-gm8hes5-ext vulnerable to Regular Expression Denial of Service in `function#copy` and `function#toStringTokens`
jws 3.2.2欠陥 1 件3.2.3 で修正保護が本来より弱くなっています。 ネット上のどこからでも、アカウント不要。
- GHSA-869p-cjfg-cm3xauth0/node-jws Improperly Verifies HMAC Signature
browserify-sign 4.2.0欠陥 1 件4.2.2 で修正保護が本来より弱くなっています。 ネット上のどこからでも、アカウント不要。
- GHSA-x9w5-v3q2-3rhwbrowserify-sign upper bound check issue in `dsaVerify` leads to a signature forgery attack
browserify-sign 4.2.1欠陥 1 件4.2.2 で修正保護が本来より弱くなっています。 ネット上のどこからでも、アカウント不要。
- GHSA-x9w5-v3q2-3rhwbrowserify-sign upper bound check issue in `dsaVerify` leads to a signature forgery attack
socket.io 2.5.0欠陥 1 件2.5.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-25hc-qcg6-38wjsocket.io has an unhandled 'error' event
http-proxy-middleware 2.0.7欠陥 3 件2.0.10 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-4www-5p9h-95mhhttp-proxy-middleware can call writeBody twice because "else if" is not used
- GHSA-64mm-vxmg-q3vjhttp-proxy-middleware `router` host+path substring matching allows Host-header-driven backend routing bypass
- GHSA-9gqv-wp59-fq42http-proxy-middleware allows fixRequestBody to proceed even if bodyParser has failed
fast-xml-parser 5.5.7欠陥 1 件5.7.0 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-gh4j-gqv2-49f6fast-xml-parser XMLBuilder: XML Comment and CDATA Injection via Unescaped Delimiters
got 3.3.1欠陥 1 件11.8.5 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
got 8.3.2欠陥 1 件11.8.5 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
got 9.6.0欠陥 1 件11.8.5 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-pfrx-2q88-qq97Got allows a redirect to a UNIX socket
@protobufjs/utf8 1.1.0欠陥 1 件1.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-q6x5-8v7m-xcrfprotobufjs has overlong UTF-8 decoding
uuid 2.0.3欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 3.3.3欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 3.4.0欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 7.0.3欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 8.0.0欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 9.0.1欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 10.0.0欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
uuid 11.1.0欠陥 1 件11.1.1 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-w5hq-g745-h8pquuid: Missing buffer bounds check in v3/v5/v6 when buf is provided
@smithy/config-resolver 4.1.4欠陥 1 件4.4.0 で修正影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-6475-r3vj-m8vfAWS SDK for JavaScript v3 adopted defense in depth enhancement for region parameter value
aws-sdk 2.1240.0欠陥 1 件影響が明記されていない欠陥です。 ネット上のどこからでも、アカウント不要。
- GHSA-j965-2qgj-vjmqJavaScript SDK v2 users should add validation to the region parameter value in or migrate to v3
on-headers 1.0.2欠陥 1 件1.1.0 で修正影響が明記されていない欠陥です。 マシンにアクセスできる場合のみ。
- GHSA-76c9-3jph-rj3qon-headers is vulnerable to http response header manipulation
@tootallnate/once 1.1.2欠陥 1 件2.0.1 で修正影響が明記されていない欠陥です。 マシンにアクセスできる場合のみ。
- GHSA-vpq2-c234-7xj6@tootallnate/once vulnerable to Incorrect Control Flow Scoping
@tootallnate/once 2.0.0欠陥 1 件2.0.1 で修正影響が明記されていない欠陥です。 マシンにアクセスできる場合のみ。
- GHSA-vpq2-c234-7xj6@tootallnate/once vulnerable to Incorrect Control Flow Scoping
cookie 0.4.0欠陥 1 件0.7.0 で修正影響が明記されていない欠陥です。
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.4.1欠陥 1 件0.7.0 で修正影響が明記されていない欠陥です。
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.4.2欠陥 1 件0.7.0 で修正影響が明記されていない欠陥です。
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
cookie 0.5.0欠陥 1 件0.7.0 で修正影響が明記されていない欠陥です。
- GHSA-pxg6-pf52-xh8xcookie accepts cookie name, path, and domain with out of bounds characters
変化があったらメールで知らせる
最初に確認のメールを1通、その後は答えが悪化したときか新たな深刻な欠陥が見つかったときだけ送ります。多くても1日1通、攻撃に使われている場合はすぐに。配信停止はワンクリック。
README にバッジを貼る
この答えを表示し、答えが変わればバッジも変わります。
[](https://istheinternetok.com/r/vercel/next.js/).github/pnpm-lock.yaml, Cargo.lock, examples/with-docker-export-output/pnpm-lock.yaml, examples/with-docker/pnpm-lock.yaml, pnpm-lock.yaml, rspack/Cargo.lock, rspack/crates/binding/pnpm-lock.yaml, rspack/pnpm-lock.yaml, scripts/send-trace-to-jaeger/Cargo.lock, test/e2e/swc-plugins-env/plugin/Cargo.lock, turbopack/benchmark-apps/pnpm-lock.yaml, turbopack/crates/turbopack-tracing/tests/node-file-trace/pnpm-lock.yaml, turbopack/crates/turbopack-tracing/tests/node-file-trace/test/unit/pnpm-symlinks/pnpm-lock.yaml から読み込みました。