HelloZeroNet / HelloZeroNet/ZeroNet
ReDoS in built-in file editor (UiFileManager) due to outdated codemirror lib
未关闭
还没有人认领这个 Issue。
- 主要语言
- JavaScript
- 星标
- 18.8k
- 派生
- 2.3k
- PR 合并指标
- 30 天内没有已合并 PR
描述
the fix is here: https://github.com/zeronet-conservancy/zeronet-conservancy/commit/d16c71966b119c3c456e0614e32615eb9fa0f008
test here: http://127.0.0.1:43110/list/1J5aZqN5rx9Nez74cbjPud9fPF6CZDkvZ/?file=test.js
upstream vulnerability link: https://security.snyk.io/vuln/SNYK-JS-CODEMIRROR-1016937
why it happened: codemirror js library was copypasted into source tree instead of being fetched as third-party dependency, thus it wasn't updated when fix was issued
贡献指南
这个仓库没有索引到贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
调研方向
从 UiFileManager 实现和复制的 CodeMirror 库开始，然后将它们与提交 d16c71966b119c3c456e0614e32615eb9fa0f008 中的修复进行比较。使用提供的本地文件编辑器 URL 和 Snyk 安全公告，验证 ReDoS 漏洞已得到修复。
由索引模型根据 Issue 内容生成。
评估
- 技术栈
- javascript
- 领域
- frontend, security
- Issue 类型
- 缺陷
- 难度
- 3/5
- 预计耗时
- 1-2 天
- 活跃度
- 停滞
- 描述清晰度
- 基本清楚
- 新手友好度
- 35/100