cebe / cebe/php-openapi

Speccy uses dompurify with XSS vulnerability

オープン
#157 コメント 5 件 リアクション 0 件 担当者 0 名 GitHub で見る
overhead
主要言語
PHP
スター
500
フォーク
99
PR マージ指標
30日以内にマージされた PR はありません

説明

Thought I would bring this up here as [Speccy ](https://github.com/wework/speccy) is a dead repo (last updated 3 years ago). It looks like Speccy is being used here and the latest version of Speccy is using an older version of [redoc](https://github.com/wework/speccy/blob/master/package-lock.json#L6443) which is using a [bad version](https://github.com/wework/speccy/blob/master/package-lock.json#L6450) of dompurify according to [snyk ](https://snyk.io/vuln/npm:dompurify).

Wondering what are thoughts around removing speccy from the repo?

コントリビューションガイド

このリポジトリのコントリビューションガイドは索引されていません

調査の方向性

まず、このリポジトリで Speccy が使用されている箇所を追跡し、次に package-lock.json の 6443 行目と 6450 行目にある Speccy のエントリ、およびリンクされた Snyk のアドバイザリを調査します。Speccy を削除することで既存の OpenAPI ワークフローに影響があるか確認してください。脆弱な依存関係がリポジトリに含まれなくなり、これらのワークフローを壊していなければ完了です。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
javascript, php
領域
security, tooling
issue の種類
リファクタリング
難易度
4/5
見積もり時間
3〜5日
活発さ
停滞
明瞭さ
説明が足りない
初心者へのやさしさ
25/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。