browserify / browserify/static-module

Problem with IQ Server vulnerability : sonatype-2020-0067

未关闭
#55 4 条评论 0 个 reaction 已指派 0 人 在 GitHub 查看
主要语言
JavaScript
星标
75
派生
22
PR 合并指标
30 天内没有已合并 PR

描述

Hi,

Here is my problem.
I want to install "compodoc" in an internal angular project but one dependencies is blocked by Iq server for this reason :

Sonatype-2020-0067 :
**EXPLANATION**
The acorn package is vulnerable to Regular Expression Denial of Service (ReDoS). The RegExpValidationState.prototype.at and RegExpValidationState.prototype.nextIndex functions in acorn.js, acorn.mjs, and acorn.es.js process user-supplied input without properly validating UTF-16 surrogate pairs. A remote attacker can exploit this behavior by submitting a crafted UTF-16 encoded string which, when parsed by the application, will result in an infinite loop, ultimately leading to a DoS condition.
**ROOT CAUSE**
static-module-3.0.4.tgzpackage/dist/acorn.js[5.5.0, 5.7.4)
**ADVISORIES**
Third Party:https://www.npmjs.com/advisories/1488

Is there a solution to fix it in futur version of "static module" ?

Best regards

贡献指南

这个仓库没有索引到贡献指南

调研方向

检查 static-module-3.0.4.tgz 及其包含的 dist/acorn.js、acorn.mjs 和 acorn.es.js 路径;首先检查报告的 acorn 版本是如何进入依赖树的,并将其与链接的 advisory 进行比较。完成的标准应是由 maintainer 确认依赖解析已移除被标记的易受攻击版本范围,同时保持 static-module 可用。

由索引模型根据 Issue 内容生成。

评估

技术栈
javascript
领域
security, tooling
Issue 类型
缺陷
难度
4/5
预计耗时
3-5 天
活跃度
停滞
描述清晰度
需要澄清
新手友好度
20/100

把新 issue 发到你的邮箱

精选适合新手参与的 GitHub issue 摘要。