Jiyong Yang

Missing authorization in Visual Studio Code allows an unauthorized attacker to disclose information over a network.

Improper neutralization of input during web page generation ('cross-site scripting') in Visual Studio Code allows an unauthorized attacker to execute code over a network.

Nome do Software Vulnerável e Versões Afetadas Versões do Django 6.0 a 6.0.1 Versões do Django 5.2 a 5.2.10 Versões do Django 4.2 a 4.2.27 Versões do Django 5.0.x e anteriores Versões do Django 4.1.x e anteriores Versões do Django 3.2.x e anteriores Descrição O componente `ASGIRequest` é suscetível a uma condição de negação de serviço. Um atacante remoto pode explorar isso ao enviar uma requisição especialmente elaborada contendo cabeçalhos duplicados. Recomendações Atualize o Django para a versão 6.0.2 ou posterior. Atualize o Django para a versão 5.2.11 ou posterior. Atualize o Django para a versão 4.2.28 ou posterior.

Nome do Software Vulnerável e Versões Afetadas nvm versões 0.40.3 e anteriores Descrição Existe um problema de injeção de comandos no nvm (Node Version Manager). A função `nvm download()` utiliza `eval` para executar comandos `wget`. A variável de ambiente `NVM AUTH HEADER` não foi adequadamente sanitizada ao ser usada no caminho de código do `wget`. Um atacante capaz de definir variáveis de ambiente no ambiente shell da vítima — por exemplo, por meio de configurações maliciosas de CI/CD, dotfiles comprometidos ou imagens Docker — pode injetar comandos shell arbitrários. Esses comandos serão executados quando a vítima executar comandos do nvm que iniciam downloads, como 'nvm install' ou 'nvm ls-remote'. Recomendações Atualize o nvm para uma versão superior a 0.40.3.