nl Inschrijven

← home

Node.js & npm

Meldingen voor de runtime, frameworks en het npm-ecosysteem van Node.js-applicaties.

Alles Beveiliging Releases

75 items

BEVEILIGING Node.js & npm · 2 bronnen · 2d geleden

msgpack5: Kwadratische parsing in streaming-decoder (CVE-2026-107297)

Een zwakte in de streaming-decoder van msgpack5 leidt tot herhaalde reparsing wanneer een MessagePack-container over veel kleine chunks wordt verdeeld. Een externe peer kan zo kwadratische CPU-belasting veroorzaken en de Node.js event-loop blokkeren. Opgelost in 6.1.0. (CVE-2026-107297)

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

Twee Denial-of-Service-kwetsbaarheden verholpen in multipart-parser @fastify/busboy

Twee afzonderlijke Denial of Service-kwetsbaarheden (CVSS 7.5) in @fastify/busboy stellen niet-geauthenticeerde aanvallers in staat om Node.js-applicaties te laten crashen of vastlopen via speciaal geprepareerde multipart/form-data-verzoeken. Beide zijn verholpen in versie 3.2.1.

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

probe-image-size: SVG-verwerkingsfout maakt CPU-uitputting mogelijk (Denial of Service)

Een kwetsbaarheid in de SVG-verwerking van probe-image-size maakt het mogelijk om via kwaadaardige invoer overmatig CPU-gebruik te veroorzaken, waardoor de Node.js event loop kan vastlopen. Opgelost in versie 7.4.0.

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

Denial-of-Service-kwetsbaarheid in figlet.js verholpen in versie 1.11.3 (CVE-2026-96780)

Een denial-of-service-kwetsbaarheid in figlet.js, veroorzaakt door een oneindige lus bij een specifieke, niet-standaard configuratie, is verholpen in versie 1.11.3. Applicaties die de optie whitespaceBreak gebruiken en een door aanvallers beïnvloedbare width-waarde toestaan, zijn kwetsbaar.

BEVEILIGING Node.js & npm · 6 bronnen · 1w geleden

Drie kwetsbaarheden in Ghost CMS verholpen: stored XSS, rolmisbruik en SSRF

Ghost heeft drie kwetsbaarheden verholpen die invloed hebben op staff-accounts: een stored XSS-fout via bestandsuploads (CVE-2026-104411), een rolprobleem waarbij Editors zichzelf gelijke rechten konden toekennen aan andere gebruikers (CVE-2026-104412), en een SSRF-kwetsbaarheid in de webhook-functionaliteit (CVE-2026-103287). Updaten naar Ghost 6.64.0 (of 6.27.0 voor het SSRF-probleem) lost deze problemen op.

BEVEILIGING Node.js & npm · 16 bronnen · 1w geleden

Ghost CMS: acht kwetsbaarheden verholpen, waaronder stored XSS en RCE voor beheerders

Er zijn acht kwetsbaarheden in Ghost CMS bekendgemaakt en verholpen, variërend van stored cross-site scripting en remote code execution door beheerders tot path traversal en informatielekken. De meeste getroffen installaties zijn verholpen in versie 6.64.0; één probleem werd eerder al verholpen in 6.27.0 en een ander in 6.44.1.

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

Piscina Worker Pool: prototype-pollution-gadget kan leiden tot code-executie (CVE-2026-102992)

Piscina, een Node.js worker-pool-library, slaat zijn ThreadPool-opties op als een gewoon object dat overerft van Object.prototype. In combinatie met een aparte prototype-pollution-kwetsbaarheid elders in een applicatie kan een aanvaller hierdoor beveiligingsgevoelige worker-instellingen zoals execArgv, loadBalancer of env beïnvloeden, wat kan leiden tot code-executie in worker threads. Opgelost in 4.9.4, 5.3.2 en 6.0.0-rc.5.

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

basic-ftp: ReDoS-kwetsbaarheid in Unix-directorylijst-parser maakt CPU-uitputting op afstand mogelijk

basic-ftp vóór versie 6.2.1 bevat een ReDoS-kwetsbaarheid (regular expression denial of service) in de parser voor Unix-directorylijsten. Een kwaadwillende of gecompromitteerde FTP-server kan een geprepareerde directorylijst sturen waardoor Client.list() kwadratisch veel CPU-tijd verbruikt en de Node.js event loop vastloopt. Verholpen in versie 6.2.1.

BEVEILIGING Node.js & npm · 4 bronnen · 1w geleden

Twee kwetsbaarheden in Astro-adapters: DoS in Node door misvormde Host-header en SSRF-risico via Netlify Image CDN

De @astrojs/node-adapter van Astro kan vastlopen door een misvormde Host-header wanneer staticHeaders actief is (CVE-2026-102984), terwijl de allowlist van @astrojs/netlify's Image CDN omzeild kan worden om verzoeken naar door een aanvaller gekozen URL's af te dwingen (CVE-2026-102983). Voor beide problemen zijn updates beschikbaar.

BEVEILIGING Node.js & npm · 3 bronnen · 1w geleden

Drie kwetsbaarheden in undici verholpen: DoS, TLS-bypass en cache-poisoning

In de undici HTTP/WebSocket-client voor Node.js zijn drie afzonderlijke kwetsbaarheden verholpen: een remote denial-of-service via de afhandeling van WebSocket-subprotocollen, een TLS-certificaatvalidatie-bypass in BalancedPool, en een cross-origin cache-poisoning probleem in interceptors. Het wordt aangeraden om te updaten naar de gepatchte versies.

BEVEILIGING Node.js & npm · 4 bronnen · 1w geleden

Drie kwetsbaarheden in NestJS: microservice-crash, bypass van Fastify-middleware en ongelimiteerde geheugengroei

Drie afzonderlijke advisories treffen NestJS-pakketten: een crash op afstand in TCP/RabbitMQ-microservices via een diep geneste message pattern (CVE-2026-102281), een bypass van authenticatie/autorisatie-middleware in de Fastify-adapter via absolute-form request targets, en ongelimiteerde geheugengroei in de TCP microservice-transportlaag. Voor alle drie is een update beschikbaar.

BEVEILIGING Node.js & npm · 4 bronnen · 1w geleden

Vier kwetsbaarheden in Nodemailer: denial-of-service en TLS-identiteitsproblemen in meerdere versies

Vier afzonderlijke advisories over het npm-pakket nodemailer beschrijven twee denial-of-service-problemen in de adresparser, een probleem met TLS-identiteitsverwarring tussen tenants in de DNS-cache, en een parserfout die een misvormde envelope-ontvanger kan opleveren. Voor alle vier zijn updates beschikbaar.

BEVEILIGING Node.js & npm · 5 bronnen · 1w geleden

undici: vijf kwetsbaarheden maken cookiediefstal en meerdere denial-of-service-aanvallen mogelijk

Vijf afzonderlijke kwetsbaarheden in undici, de HTTP/WebSocket-client voor Node.js, maken het mogelijk cookies tussen gebruikers te lekken via gedeelde caching en op meerdere manieren een Node.js-proces te laten crashen door kwaadwillende of gecompromitteerde servers. Alle problemen zijn verholpen in undici 7.29.1 en 8.10.2.

BEVEILIGING Node.js & npm · 2 bronnen · 1w geleden

Twee kwetsbaarheden in fast-uri leiden tot hostverwarring en autoriteit-injectie

Twee samenhangende kwetsbaarheden in het npm-pakket fast-uri (CVE-2026-84292 en CVE-2026-84394) zorgen ervoor dat een aanvaller via een gemanipuleerde port- of hostwaarde fast-uri en echte HTTP-clients zoals Node's URL een ander doel laat zien, waardoor SSRF- en redirect-controles omzeild kunnen worden. Beide zijn verholpen in fast-uri 4.1.4, 3.1.7 en 2.4.6.

BEVEILIGING Node.js & npm · 6 bronnen · 1w geleden

Drie kwetsbaarheden in @grpc/grpc-js: authenticatie-omzeiling, informatielekkage en fout in RBAC-matching

Drie kwetsbaarheden in de Node.js gRPC-bibliotheek @grpc/grpc-js hebben betrekking op certificaatautorisatie, foutafhandeling en RBAC-padmatching. Alle drie zijn verholpen in bijgewerkte releases; de ernstigste (CVE-2026-101916) kan ertoe leiden dat niet-geautoriseerde certificaten als geautoriseerd worden behandeld.

BEVEILIGING Node.js & npm · 8 bronnen · 1w geleden

Vier kwetsbaarheden in npm-package ip-address maken SSRF-omzeiling en denial-of-service mogelijk

De npm-package ip-address, gebruikt voor het parsen en classificeren van IPv4/IPv6-adressen, bevat vier verholpen kwetsbaarheden waardoor aanvaller-gecontroleerde adressen vertrouwenscontroles kunnen omzeilen (SSRF) of een denial-of-service kunnen veroorzaken via te grote invoerstrings.

BEVEILIGING Node.js & npm · 1 bronnen · 2w geleden

Path traversal-lek in Knowns maakt willekeurig lezen, schrijven en verwijderen van bestanden mogelijk via MCP docs- en memory-tools

Knowns-versies tot en met 0.29.1 bevatten meerdere path traversal-kwetsbaarheden in de MCP docs- en memory-tools, waardoor aanvallers willekeurige bestanden buiten de bedoelde projectmap kunnen lezen, schrijven of verwijderen. Een fout in de rechtenclassificatie maakt het bovendien mogelijk om bestanden te verwijderen via een hernoemactie, zelfs voor gebruikers zonder verwijderrechten. Het probleem is verholpen in versie 0.30.0.

BEVEILIGING Node.js & npm · 1 bronnen · 2w geleden

Cline Hub Dashboard: Cross-Origin WebSocket Hijacking maakt lokale code-uitvoering mogelijk (CVE-2026-59723)

De Cline Hub-dashboardserver, gestart via het CLI-commando `cline dashboard`, accepteert WebSocket-verbindingen op het `/browser`-eindpunt zonder de Origin-header te controleren. In de standaard lokale configuratie kan hierdoor elke website die een ontwikkelaar bezoekt de dashboardsessie kapen, instellingen aanpassen en mogelijk commando's uitvoeren op de machine van de ontwikkelaar.

BEVEILIGING Node.js & npm · 2 bronnen · 2w geleden

Niet-geauthenticeerde HTTP-API in @rsdoctor/rspack-plugin lekt broncode en buildmetadata

Een kwetsbaarheid in @rsdoctor/rspack-plugin maakte het mogelijk voor aanvallers op het netwerk om via een niet-geauthenticeerd HTTP-endpoint gecompileerde JavaScript-broncode en buildconfiguratie op te vragen. Het probleem is verholpen in versie 1.5.16.

BEVEILIGING Node.js & npm · 4 bronnen · 2w geleden

Twee kwetsbaarheden in DBHub maken ongeautoriseerde toegang en omzeiling van alleen-lezen-modus mogelijk

DBHub, een database-MCP-server voor Postgres, MySQL, SQL Server, Oracle, MariaDB en SQLite, bevatte twee kwetsbaarheden in zijn HTTP-transportmodus: een DNS-rebinding-omzeiling van de origin-controle (CVE-2026-61742) en een fout in de afdwinging van alleen-lezen-modus die schrijfacties en, bij bevoorrechte configuraties, zelfs remote code execution toelaat (CVE-2026-61788). Beide zijn verholpen in bijgewerkte DBHub-releases.

BEVEILIGING Node.js & npm · 2 bronnen · 2w geleden

BSV Wallet Toolbox-pakketten kwetsbaar voor manipulatie van ontvangstscripts, waardoor geld omgeleid kan worden

Een kwetsbaarheid in @bsv/wallet-toolbox, @bsv/wallet-toolbox-client en @bsv/wallet-toolbox-mobile stelt een kwaadwillende of gecompromitteerde externe storage-provider in staat om ontvangstscripts in transacties te vervangen, waardoor wallets transacties ondertekenen en verzenden die geld omleiden terwijl de interface nog steeds de bedoelde ontvanger toont. Verholpen in versie 2.4.0.

BEVEILIGING Node.js & npm · 2 bronnen · 2w geleden

Kritieke XSS-sanitizer-bypass in SunEditor (CVE-2026-59167)

Een bypass in de sanitizer van SunEditor tot en met versie 2.47.10 zorgt ervoor dat event-handler-attributen op namespaced of aangepaste HTML-elementen behouden blijven, wat stored cross-site scripting mogelijk maakt. Het probleem is verholpen in versie 2.47.11.

BEVEILIGING Node.js & npm · 2 bronnen · 2w geleden

SQL-injectie in ReactPress API-endpoints via ongefilterde queryparameternamen (CVE-2026-61685)

ReactPress-versies tot en met 3.6.0 zijn kwetsbaar voor SQL-injectie zonder authenticatie, doordat API-lijstendpoints ongefilterde HTTP-queryparameternamen gebruiken als SQL-kolomnamen in TypeORM-querybuilders. Versie 3.7.0 bevat een fix.

BEVEILIGING Node.js & npm · 4 bronnen · 2w geleden

Validatiefouten in mppx-fee-payer maken uitputting van gaskosten mogelijk (CVE-2026-63628, CVE-2026-63627)

Twee validatiefouten in mppx, een TypeScript-interface voor het machine payments protocol, stellen clients in staat om de gaskosten die door een server-side fee-payer wallet worden betaald kunstmatig op te drijven. Beide zijn verholpen in versie 0.8.2.

BEVEILIGING Node.js & npm · 2 bronnen · 2w geleden

Denial-of-Service-lek in request-filtering-agent: onafgevangen exceptie kan Node.js-apps laten crashen (CVE-2026-62985)

Een kwetsbaarheid in het npm-pakket request-filtering-agent zorgt voor een synchrone exceptie bij het blokkeren van verzoeken naar letterlijke private IP-adressen zoals 169.254.169.254 of 127.0.0.1, waardoor de foutafhandeling van Node.js wordt omzeild en de toepassing kan crashen. Opgelost in versie 3.2.1.

De Ochtendbriefing

Relevante veranderingen voor de stacks die je volgt.

Kies je stacks, onderwerpen en eventueel WordPress-plugins. Om 07:00 CEST worden passende meldingen en releases uit de rapportageperiode in één e-mail gegroepeerd.

Inschrijven →

✓ Kies stacks en onderwerpen✓ Pas voorkeuren altijd aan✓ Eén gebundelde e-mail

PatchBriefing Daily Vandaag · 07:00 CEST

3 passende rapporten

LAAG 1.9 CVE-2026-107848 — Contao: CSRF bij backend-acties

LAAG 2.5 fast-jwt: Verifier-cache accepteert verlopen JWT's (CVE-2026-107719)

LAAG 2.6 Contao: onjuiste toegangscontrole in TableAccessVoter (CVE-2026-107851)