CVE-2026-64638

요구 사항 Node .js 명령어 node evilngrok.js...

CVE-2023-43646

CVE-2023-43646 취약점 개요 CVE-2023-43646 CVSS : 8.6 Sep 26, 2023 ReDoS in node.js package rebob 프로젝트의 일환 취약점 설명 github advisories /\sfunction?:\s|\s/^?:/+/\s^\/+/ This vulnerability can be exploited when there is an imbalance in parentheses, which results in excessive backtracking and subsequently...

Suricata-Rule-for-Detecting-CVE-2025-55182

CVE‑2025‑55182용 Suricata 탐지 규칙 Next.js Action Poisoning → Node.js execSync RCE 📌 설명 이 문서는 Suricata 규칙 SID 900304 이 CVE‑2025‑55182 의 악용 시도를 탐지하는 방법을 설명합니다. CVE‑2025‑55182는 Action Poisoning 을 가능하게 하여 임의의 Node.js RCE 로 이어지는 Next.js의 치명적인 취약점입니다. 구체적으로 다음 경로를 통해 발생합니다: 프로토타입 오염Prototype Pollution 내부...

CVE-2018-13797

node-macaddress Linux, OS X, Windows에서 MAC 주소를 검색합니다. MAC 주소에 대한 일반적인 오해는 모든 호스트 가 하나의 MAC 주소를 가진다는 것이지만, 호스트는 여러 개의 MAC 주소를 가질 수 있습니다. 모든 네트워크 인터페이스 가 자신의 MAC 주소를 가질 수 있기 때문입니다. 이 라이브러리는 네트워크 인터페이스별로 MAC 주소를 찾을 수 있게 해주며, 호스트 시스템을 식별하는 하나의 MAC 주소만 필요하다면 적절한 인터페이스를 선택합니다 아래 API + 예제 참조. 기능: Linux,...

CVE-2024-39943-Poc

CVE-2024-39943-Poc CVE-2024-39943 rejetto HFS일명 HTTP File Server 3 0.52.10 미만 버전이 Linux, UNIX 및 macOS에서 원격 인증된 사용자업로드 권한이 있는 경우에 의한 OS 명령 실행을 허용합니다. 이는 df를 실행하기 위해 셸을 사용하기 때문입니다즉, Node.js의 childprocess에서 spawnSync 대신 execSync를 사용. 배포: ./hfs --config config.yaml...

MAL-2026-17500 Malicious code in @nagular/router (npm)

@nagular/[email protected] impersonates router it copies the code and metadata of the pillarjs router package and adds a preinstall script that runs on npm install and pipes a remotely hosted loader into node: curl -L...

MAL-2026-17492 Malicious code in @angularr/cli (npm)

@angularr/[email protected] impersonates @angular/cli it copies the code and metadata of @angular/cli, including the ng binary and adds a preinstall script that runs on npm install and pipes a remotely hosted loader into node: curl -L...

XSLeaker

XSLeaker XSLeaker는 웹사이트에서 XS-Leaks를 찾는 데 도움을 주는 도구입니다. 이 도구는 누출 기법이 알려진 리소스 값예: iframe 수을 서로 다른 상태 간에 비교합니다. XSLeaker는 두 가지 구성 요소로 이루어져 있습니다. 서로 다른 상태에서 리소스 값을 수집하는 데 사용되는 Chrome 확장 프로그램과 결과를 비교하고 표시하는 데 사용되는 node.js 서버입니다. 다음 리소스 값의 차이점이 확인됩니다: URL iframe 수 HTTP 상태 코드 리디렉션 수 WebSocket 연결 수 포커스 가...

Exploit for CVE-2026-102282

CVE-2026-102282 — adm-zip setuid/setgid preservation during ex...

GHSA-GJJ5-9665-RWRC probe-image-size: Quadratic-time Denial of Service in the SVG Parser

Overview probe-image-size scans the SVG header with a searching regular expression, //. On input that contains many , the engine restarts the ^ scan at every position and runs to end of input each time, giving quadratic time complexity. Both the synchronous and the streaming parser are affected...

EUVD-2026-57757

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header...

GHSA-X8MW-P69M-V3MX @fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

Impact Versions of @fastify/busboy from 1.0.0 and prior to 3.2.1 are vulnerable to a Denial of Service. The multipart header parser stores part-header names on a plain JavaScript object, so a part header named proto or constructor resolves to an inherited value that is not an array, and the parse...

@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header

Impact Versions of @fastify/busboy from 1.0.0 and prior to 3.2.1 are vulnerable to a Denial of Service. The multipart header parser stores part-header names on a plain JavaScript object, so a part header named proto or constructor resolves to an inherited value that is not an array, and the parse...

@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary

Impact Versions of @fastify/busboy from 3.1.0 and prior to 3.2.1 are vulnerable to a Denial of Service. The vendored streaming multipart search stores its default skip distance in a Uint8Array256. A multipart boundary of exactly 252 bytes makes the search needle 256 bytes, and the table entry wra...

GHSA-XJH9-V7X6-24JW @fastify/busboy vulnerable to Denial of Service via oversized multipart boundary

Impact Versions of @fastify/busboy from 3.1.0 and prior to 3.2.1 are vulnerable to a Denial of Service. The vendored streaming multipart search stores its default skip distance in a Uint8Array256. A multipart boundary of exactly 252 bytes makes the search needle 256 bytes, and the table entry wra...

EUVD-2026-57759

@fastify/busboy vulnerable to Denial of Service via oversized multipart boundary...

figlet is vulnerable to denial of service via unbounded loop when whitespaceBreak is used with a small width

Impact A denial-of-service infinite loop can occur in text / textSync when both: - whitespaceBreak: true is set, and - width is set smaller than the rendered width of a single FIGlet character. Under these conditions breakWord could never find a valid break point, so the word-wrapping loop in...

CVE-2026-104861

probe-image-size gets image dimensions without downloading the entire file. Prior to 7.4.0, lib/parsesync/svg.js and lib/parsestream/svg.js use the searching regular expression //, which repeatedly scans to the end of input when attacker-controlled data contains many less-than characters without ...

CVE-2026-104861

The probe-image-size library (versions <= 7.3.0) is vulnerable to a quadratic-time Denial of Service (DoS) attack due to inefficient regular expression handling in its SVG parser. Specifically, the regex /]*>/ causes the engine to repeatedly scan to the end of the input whenever it encounte...

CVE-2026-104861 probe-image-size: Quadratic-time Denial of Service in the SVG Parser

probe-image-size gets image dimensions without downloading the entire file. Prior to 7.4.0, lib/parsesync/svg.js and lib/parsestream/svg.js use the searching regular expression //, which repeatedly scans to the end of input when attacker-controlled data contains many less-than characters without ...