NPM-i haavatavus võimaldab muuta suvalisi faile paketi installimise ajal
NPM-i paketihalduri versioonis 6.13.4, mis kuulub Node.js-i komplekti ja mida kasutatakse JavaScripti moodulite levitamiseks, kolm haavatavust (, ja ), mis võimaldavad muuta või üle kirjutada suvalisi süsteemifaile paketi installimise ajal, mille on valmistanud ründaja. Kaitsena võib kasutada paigaldamist valiku "—ignore-scripts" abil, mis keelab sisseehitatud paketihaldurite täitmise. NPM-i arendajad on analüüsinud hoidlas olevaid pakette ega leidnud tõendeid probleemide ära kasutamise kohta rünnakute tegemiseks.
CVE-2019-16777 versioonides kuni 6.13.4 ja võimaldab üle kirjutada süsteemi täidetavad failid paketi globaalsete installimiste käigus. Saada vahetada ainult faile sihtkaustas, kuhu installitakse täidetavad failid (tavaliselt /usr/local/bin).
ja ilmnevad versioonides kuni 6.13.3 ja võimaldavad üle kirjutada suvalise faili, luues sümboolse lingi failidele väljaspool moodulite kausta (node_modules) või manipuleerides package.json-i bin välja vorminguga (bin-välja korral oli lubatud kasutada teid "../").
