CVE-2021-43616 in NPM

الملخص

بحسب VulDB • 06/06/2026

أمر npm ci في الإصدارات 7.x و8.x حتى 8.1.3 يستمر في عملية التثبيت حتى لو كانت معلومات التبعيات في ملف package-lock.json تختلف عن ملف package.json. هذا السلوك غير متسق مع التوثيق، ويجعل من الأسهل على المهاجمين تثبيت برمجيات خبيثة كان من المفترض أن يتم حظرها بسبب شرط المطابقة الدقيقة للإصدار في ملف package-lock.json.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: MITRE
• حجز: 13/11/2021
• إفشاء: 13/11/2021
• الاعتدال: تمت الموافقة
• إدخال: VDB-186651
• CPE: جاهز
• CWE: CWE-345 (مؤكد)
• CVSS: 9.8 (NVD)
• EPSS: 0.02534
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Industry, Finance, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2021-43616
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-43616
• CVE Details: https://www.cvedetails.com/cve/CVE-2021-43616/