browserify / browserify/static-module
Problem with IQ Server vulnerability : sonatype-2020-0067
- Ngôn ngữ chính
- JavaScript
- Star
- 75
- Fork
- 22
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Mô tả
Hi,
Here is my problem.
I want to install "compodoc" in an internal angular project but one dependencies is blocked by Iq server for this reason :
Sonatype-2020-0067 :
**EXPLANATION**
The acorn package is vulnerable to Regular Expression Denial of Service (ReDoS). The RegExpValidationState.prototype.at and RegExpValidationState.prototype.nextIndex functions in acorn.js, acorn.mjs, and acorn.es.js process user-supplied input without properly validating UTF-16 surrogate pairs. A remote attacker can exploit this behavior by submitting a crafted UTF-16 encoded string which, when parsed by the application, will result in an infinite loop, ultimately leading to a DoS condition.
**ROOT CAUSE**
static-module-3.0.4.tgzpackage/dist/acorn.js[5.5.0, 5.7.4)
**ADVISORIES**
Third Party:https://www.npmjs.com/advisories/1488
Is there a solution to fix it in futur version of "static module" ?
Best regards
Hướng dẫn đóng góp
Chưa lập chỉ mục được hướng dẫn đóng góp cho kho mã nguồn này
Hướng nghiên cứu
Kiểm tra static-module-3.0.4.tgz và các đường dẫn dist/acorn.js, acorn.mjs và acorn.es.js được đóng gói trong đó; trước tiên hãy kiểm tra cách phiên bản acorn được báo cáo đi vào cây phụ thuộc và đối chiếu phiên bản đó với advisory được liên kết. Công việc được xem là hoàn tất khi có một cách giải quyết phụ thuộc được maintainer xác nhận, loại bỏ khoảng phiên bản dễ bị tổn thương đã được đánh dấu mà vẫn giữ cho static-module có thể sử dụng.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Đánh giá
- Công nghệ
- javascript
- Lĩnh vực
- security, tooling
- Loại issue
- Lỗi
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức độ hoạt động
- Đình trệ
- Độ rõ ràng
- Cần làm rõ
- Mức phù hợp với người mới
- 20/100