Vulnerabilities found for centraldashboard:1.9.0


For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://aquasecurity.github.io/trivy/v0.56/docs/supply-chain/vex/repo#publishing-vex-documents

To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.

charmedkubeflow/centraldashboard:1.9.0-385a9c5 (ubuntu 22.04)
=============================================================
Total: 0 (HIGH: 0, CRITICAL: 0)

Node.js (node-pkg)
==================
Total: 15 (HIGH: 13, CRITICAL: 2)

┌─────────────────────────────────────┬────────────────┬──────────┬────────┬───────────────────┬──────────────────────────────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│               Library               │ Vulnerability  │ Severity │ Status │ Installed Version │                      Fixed Version                       │                            Title                             │
├─────────────────────────────────────┼────────────────┼──────────┼────────┼───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ body-parser (package.json)          │ CVE-2024-45590 │ HIGH     │ fixed  │ 1.20.2            │ 1.20.3                                                   │ body-parser: Denial of Service Vulnerability in body-parser  │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2024-45590                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ http-cache-semantics (package.json) │ CVE-2022-25881 │          │        │ 4.1.0             │ 4.1.1                                                    │ http-cache-semantics: Regular Expression Denial of Service   │
│                                     │                │          │        │                   │                                                          │ (ReDoS) vulnerability                                        │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-25881                   │
├─────────────────────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ jsonpath-plus (package.json)        │ CVE-2024-21534 │ CRITICAL │        │ 7.2.0             │ 10.0.0                                                   │ jsonpath-plus: Remote Code Execution in jsonpath-plus via    │
│                                     │                │          │        │                   │                                                          │ Improper Input Sanitization                                  │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2024-21534                   │
├─────────────────────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ minimatch (package.json)            │ CVE-2022-3517  │ HIGH     │        │ 3.0.4             │ 3.0.5                                                    │ nodejs-minimatch: ReDoS via the braceExpand function         │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-3517                    │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ node-fetch (package.json)           │ CVE-2022-0235  │          │        │ 2.6.6             │ 3.1.1, 2.6.7                                             │ node-fetch: exposure of sensitive information to an          │
│                                     │                │          │        │                   │                                                          │ unauthorized actor                                           │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-0235                    │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ node-forge (package.json)           │ CVE-2022-24771 │          │        │ 0.10.0            │ 1.3.0                                                    │ node-forge: Signature verification leniency in checking      │
│                                     │                │          │        │                   │                                                          │ `digestAlgorithm` structure can lead to signature...         │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-24771                   │
│                                     ├────────────────┤          │        │                   │                                                          ├──────────────────────────────────────────────────────────────┤
│                                     │ CVE-2022-24772 │          │        │                   │                                                          │ node-forge: Signature verification failing to check tailing  │
│                                     │                │          │        │                   │                                                          │ garbage bytes can lead to...                                 │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-24772                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ npm (package.json)                  │ CVE-2022-29244 │          │        │ 8.5.1             │ 8.11.0                                                   │ nodejs: npm pack ignores root-level .gitignore and           │
│                                     │                │          │        │                   │                                                          │ .npmignore file exclusion directives when...                 │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-29244                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ path-to-regexp (package.json)       │ CVE-2024-45296 │          │        │ 0.1.7             │ 1.9.0, 0.1.10, 8.0.0, 3.3.0, 6.3.0                       │ path-to-regexp: Backtracking regular expressions cause ReDoS │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2024-45296                   │
├─────────────────────────────────────┼────────────────┼──────────┤        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ protobufjs (package.json)           │ CVE-2023-36665 │ CRITICAL │        │ 6.11.2            │ 7.2.5, 6.11.4                                            │ protobufjs: prototype pollution using user-controlled        │
│                                     │                │          │        │                   │                                                          │ protobuf message                                             │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2023-36665                   │
│                                     ├────────────────┼──────────┤        │                   ├──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                     │ CVE-2022-25878 │ HIGH     │        │                   │ 6.11.3, 6.10.3                                           │ protobufjs: Prototype Pollution via util.setProperty or      │
│                                     │                │          │        │                   │                                                          │ ReflectionObject.setParsedOption methods                     │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-25878                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ qs (package.json)                   │ CVE-2022-24999 │          │        │ 6.5.2             │ 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, │ express: "qs" prototype poisoning causes the hang of the     │
│                                     │                │          │        │                   │ 6.2.4                                                    │ node process                                                 │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-24999                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ semver (package.json)               │ CVE-2022-25883 │          │        │ 7.3.5             │ 7.5.2, 6.3.1, 5.7.2                                      │ nodejs-semver: Regular expression denial of service          │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2022-25883                   │
├─────────────────────────────────────┼────────────────┤          │        ├───────────────────┼──────────────────────────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ws (package.json)                   │ CVE-2024-37890 │          │        │ 6.2.1             │ 5.2.4, 6.2.3, 7.5.10, 8.17.1                             │ nodejs-ws: denial of service when handling a request with    │
│                                     │                │          │        │                   │                                                          │ many HTTP headers...                                         │
│                                     │                │          │        │                   │                                                          │ https://avd.aquasec.com/nvd/cve-2024-37890                   │
│                                     │                │          │        ├───────────────────┤                                                          │                                                              │
│                                     │                │          │        │ 8.17.0            │                                                          │                                                              │
│                                     │                │          │        │                   │                                                          │                                                              │
│                                     │                │          │        │                   │                                                          │                                                              │
└─────────────────────────────────────┴────────────────┴──────────┴────────┴───────────────────┴──────────────────────────────────────────────────────────┴──────────────────────────────────────────────────────────────┘
Details: https://github.com/canonical/kubeflow-rocks/actions/runs/11421398886
canonical / kubeflow-rocks

Vulnerabilities found for centraldashboard:1.9.0 #151

Vulnerabilities found for centraldashboard:1.9.0
