Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la CLI en npm (CVE-2016-3956)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-200 Revelación de información
Fecha de publicación:
02/07/2016
Última modificación:
12/04/2025

Descripción

La CLI en npm en versiones anteriores a 2.15.1 y 3.x en versiones anteriores a 3.8.3, tal como se utiliza en Node.js 0.10 en versiones anteriores a 0.10.44, 0.12 en versiones anteriores a 0.12.13, 4 en versiones anteriores a 4.4.2 y 5 en versiones anteriores a 5.10.0, incluye tokens portadores con peticiones arbitrarias, lo que permite a servidores HTTP remotos obtener información sensible leyendo cabeceras de autorización.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:* 1.1.0.20 (incluyendo)
cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:* 1.2.0.10 (incluyendo)
cpe:2.3:a:ibm:sdk:*:*:*:*:*:nodejs:*:* 4.4.1.0 (incluyendo)
cpe:2.3:a:nodejs:node.js:0.10.0:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.1:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.2:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.3:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.4:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.5:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.6:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.7:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.8:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.9:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.10:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.11:*:*:*:*:*:*:*