browserify / browserify/static-module

Problem with IQ Server vulnerability : sonatype-2020-0067

Đang mở
#55 4 bình luận 0 reaction 0 người được giao Xem trên GitHub
Ngôn ngữ chính
JavaScript
Star
75
Fork
22
Chỉ số merge pull request
Không có pull request nào được merge trong 30 ngày

Mô tả

Hi,

Here is my problem.
I want to install "compodoc" in an internal angular project but one dependencies is blocked by Iq server for this reason :

Sonatype-2020-0067 :
**EXPLANATION**
The acorn package is vulnerable to Regular Expression Denial of Service (ReDoS). The RegExpValidationState.prototype.at and RegExpValidationState.prototype.nextIndex functions in acorn.js, acorn.mjs, and acorn.es.js process user-supplied input without properly validating UTF-16 surrogate pairs. A remote attacker can exploit this behavior by submitting a crafted UTF-16 encoded string which, when parsed by the application, will result in an infinite loop, ultimately leading to a DoS condition.
**ROOT CAUSE**
static-module-3.0.4.tgzpackage/dist/acorn.js[5.5.0, 5.7.4)
**ADVISORIES**
Third Party:https://www.npmjs.com/advisories/1488

Is there a solution to fix it in futur version of "static module" ?

Best regards

Hướng dẫn đóng góp

Chưa lập chỉ mục được hướng dẫn đóng góp cho kho mã nguồn này

Hướng nghiên cứu

Kiểm tra static-module-3.0.4.tgz và các đường dẫn dist/acorn.js, acorn.mjs và acorn.es.js được đóng gói trong đó; trước tiên hãy kiểm tra cách phiên bản acorn được báo cáo đi vào cây phụ thuộc và đối chiếu phiên bản đó với advisory được liên kết. Công việc được xem là hoàn tất khi có một cách giải quyết phụ thuộc được maintainer xác nhận, loại bỏ khoảng phiên bản dễ bị tổn thương đã được đánh dấu mà vẫn giữ cho static-module có thể sử dụng.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Đánh giá

Công nghệ
javascript
Lĩnh vực
security, tooling
Loại issue
Lỗi
Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức độ hoạt động
Đình trệ
Độ rõ ràng
Cần làm rõ
Mức phù hợp với người mới
20/100

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.