browserify / browserify/static-module

Problem with IQ Server vulnerability : sonatype-2020-0067

オープン
#55 コメント 4 件 リアクション 0 件 担当者 0 名 GitHub で見る
主要言語
JavaScript
スター
75
フォーク
22
PR マージ指標
30日以内にマージされた PR はありません

説明

Hi,

Here is my problem.
I want to install "compodoc" in an internal angular project but one dependencies is blocked by Iq server for this reason :

Sonatype-2020-0067 :
**EXPLANATION**
The acorn package is vulnerable to Regular Expression Denial of Service (ReDoS). The RegExpValidationState.prototype.at and RegExpValidationState.prototype.nextIndex functions in acorn.js, acorn.mjs, and acorn.es.js process user-supplied input without properly validating UTF-16 surrogate pairs. A remote attacker can exploit this behavior by submitting a crafted UTF-16 encoded string which, when parsed by the application, will result in an infinite loop, ultimately leading to a DoS condition.
**ROOT CAUSE**
static-module-3.0.4.tgzpackage/dist/acorn.js[5.5.0, 5.7.4)
**ADVISORIES**
Third Party:https://www.npmjs.com/advisories/1488

Is there a solution to fix it in futur version of "static module" ?

Best regards

コントリビューションガイド

このリポジトリのコントリビューションガイドは索引されていません

調査の方向性

Inspect static-module-3.0.4.tgz and its bundled dist/acorn.js, acorn.mjs, and acorn.es.js paths; start by checking how the reported acorn version enters the dependency tree and compare it with the linked advisory. Done should be a maintainer-confirmed dependency resolution that removes the flagged vulnerable range while keeping static-module usable.

索引モデルが issue の本文から書いたものです。

評価

技術スタック
javascript
領域
security, tooling
issue の種類
バグ
難易度
4/5
見積もり時間
3〜5日
活発さ
停滞
明瞭さ
説明が足りない
初心者へのやさしさ
20/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。