Speccy uses dompurify with XSS vulnerability
- 主要言語
- PHP
- スター
- 500
- フォーク
- 99
- PR マージ指標
- 30日以内にマージされた PR はありません
説明
Thought I would bring this up here as [Speccy ](https://github.com/wework/speccy) is a dead repo (last updated 3 years ago). It looks like Speccy is being used here and the latest version of Speccy is using an older version of [redoc](https://github.com/wework/speccy/blob/master/package-lock.json#L6443) which is using a [bad version](https://github.com/wework/speccy/blob/master/package-lock.json#L6450) of dompurify according to [snyk ](https://snyk.io/vuln/npm:dompurify).
Wondering what are thoughts around removing speccy from the repo?
コントリビューションガイド
このリポジトリのコントリビューションガイドは索引されていません
調査の方向性
まず、このリポジトリで Speccy が使用されている箇所を追跡し、次に package-lock.json の 6443 行目と 6450 行目にある Speccy のエントリ、およびリンクされた Snyk のアドバイザリを調査します。Speccy を削除することで既存の OpenAPI ワークフローに影響があるか確認してください。脆弱な依存関係がリポジトリに含まれなくなり、これらのワークフローを壊していなければ完了です。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- javascript, php
- 領域
- security, tooling
- issue の種類
- リファクタリング
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 停滞
- 明瞭さ
- 説明が足りない
- 初心者へのやさしさ
- 25/100