Jiyong Yang

Missing authorization in Visual Studio Code allows an unauthorized attacker to disclose information over a network.

Improper neutralization of input during web page generation ('cross-site scripting') in Visual Studio Code allows an unauthorized attacker to execute code over a network.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.1 إصدارات Django من 5.2 إلى 5.2.10 إصدارات Django من 4.2 إلى 4.2.27 إصدارات Django 5.0.x والإصدارات الأقدم إصدارات Django 4.1.x والإصدارات الأقدم إصدارات Django 3.2.x والإصدارات الأقدم الوصف المكون `ASGIRequest` معرض لخطر حدوث حالة رفض الخدمة. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق إرسال طلب مصمم خصيصًا يحتوي على رؤوس مكررة. التوصيات قم بتحديث Django إلى الإصدار 6.0.2 أو أحدث. قم بتحديث Django إلى الإصدار 5.2.11 أو أحدث. قم بتحديث Django إلى الإصدار 4.2.28 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات nvm 0.40.3 والإصدارات الأقدم الوصف توجد ثغرة تتعلق بحقن الأوامر في nvm (Node Version Manager). تستخدم الدالة `nvm download()` دالة `eval` لتنفيذ أوامر `wget`. لم يتم تنقية متغير البيئة `NVM AUTH HEADER` بشكل مناسب عند استخدامه في مسار كود `wget`. يمكن للمهاجم القادر على تعيين متغيرات البيئة في بيئة شل الضحية — على سبيل المثال، من خلال إعدادات CI/CD الخبيثة، أو ملفات dotfiles المخترقة، أو صور Docker — حقن أوامر شل تعسفية. سيتم تنفيذ هذه الأوامر عندما يقوم الضحية بتنفيذ أوامر nvm التي تبدأ عمليات التنزيل، مثل ’nvm install‘ أو ’nvm ls-remote‘. التوصيات قم بتحديث nvm إلى إصدار أعلى من 0.40.3.