Sensitive information exposure through logs in npm-registry-fetch
Affected versions of npm-registry-fetch are vulnerable to an information exposure vulnerability through log files. The cli supports URLs like <protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path>. The password value is not redacted and is printed to stdout and also to any generated log files.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | npm-registry-fetch | < 4.0.5, >= 5.0.0, < 8.1.1 | 4.0.5, 8.1.1 |
Odnośniki
- https://github.com/npm/npm-registry-fetch/security/advisories/GHSA-jmqm-f2gx-4fjv
- https://github.com/npm/npm-registry-fetch/pull/29
- https://github.com/npm/npm-registry-fetch/commit/18bf9b97fb1deecdba01ffb05580370846255c88
- https://github.com/npm/npm-registry-fetch
- https://snyk.io/vuln/SNYK-JS-NPMREGISTRYFETCH-575432
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- Słabość (CWE)
CWE-352- Platforma
- npm
- Paczka
npm-registry-fetch- Ujawniono
- 07.07.2020
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-jmqm-f2gx-4fjv - CC BY 4.0
Historia podatności: npm-registry-fetch
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.