Max-Schaefer

**Nome do software vulnerável e versões afetadas: versões do ssh2 anteriores à 1.4.0 Descrição: O problema é uma vulnerabilidade de injeção de comando que pode levar à execução remota de código se um cliente da biblioteca chamar o método vulnerável com entradas não confiáveis. Este problema ocorre apenas no Windows. Recomendações: Para versões anteriores à 1.4.0, atualize para a versão 1.4.0 para resolver o problema. Como solução alternativa temporária, considere validar e sanitizar qualquer entrada não confiável antes de chamar o método vulnerável para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões da biblioteca merge-deep anteriores à 3.0.3 **Descrição** A vulnerabilidade permite que um invasor induza a biblioteca a sobrescrever propriedades do `Object.prototype` ou a adicionar novas propriedades a ele. Essas propriedades são então herdadas por todos os objetos do programa, facilitando ataques de contaminação de protótipo contra aplicativos que utilizam essa biblioteca. **Recomendações** Para versões da biblioteca merge-deep anteriores à 3.0.3, atualize para a versão 3.0.3 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: slashify versão 1.0.0 Descrição: A vulnerabilidade permite ataques de redirecionamento aberto. Trata-se de um middleware do Express que normaliza rotas removendo qualquer barra final e redireciona sem validar o caminho. Por exemplo, acessar uma URL como ‘localhost:3000///github.com/’ pode redirecionar para ‘https://github.com’. Recomendações: Para a versão 1.0.0, recomenda-se interromper o uso do pacote `slashify`, pois não há nenhuma versão segura conhecida deste pacote.