loopbackio / loopbackio/loopback-datasource-juggler
transitive dependency of a moderatly vulnerable version of nanoid
未关闭
@achrinza 已经在做这个了。
开始于 2022年2月16日。
bug
- 主要语言
- JavaScript
- 星标
- 282
- 派生
- 366
- 平均合并
- 17 小时 4 分钟
- 30 天内合并 PR
- 10
描述
Describe the bug
some loopback components depends on a vulnerable version of nanoid from loopback-datasource-juggler dependencies
Logs
=== npm audit security report ===
┌──────────────────────────────────────────────────────────────────────────────┐
│ Manual Review │
│ Some vulnerabilities require your attention to resolve │
│ │
│ Visit https://go.npm.me/audit-guide for additional guidance │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Exposure of Sensitive Information to an Unauthorized Actor │
│ │ in nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.1.31 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @loopback/repository │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @loopback/repository > loopback-datasource-juggler > shortid │
│ │ > nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-qrpm-p2h7-hrv2 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Exposure of Sensitive Information to an Unauthorized Actor │
│ │ in nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.1.31 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @loopback/boot │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ @loopback/boot > @loopback/repository > │
│ │ loopback-datasource-juggler > shortid > nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-qrpm-p2h7-hrv2 │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate │ Exposure of Sensitive Information to an Unauthorized Actor │
│ │ in nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package │ nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in │ >=3.1.31 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ ad569a050a8ea12038da5f35d4d4e6f7cc4ecc4f5b5b1b980db751820ea… │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path │ ad569a050a8ea12038da5f35d4d4e6f7cc4ecc4f5b5b1b980db751820ea… │
│ │ > │
│ │ eface3a80d4c7653fd276752486045e0ead664f893b0af3ee2b2f1d1ab8… │
│ │ > @loopback/repository > loopback-datasource-juggler > │
│ │ shortid > nanoid │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info │ https://github.com/advisories/GHSA-qrpm-p2h7-hrv2 │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 3 moderate severity vulnerabilities in 319 scanned packages
3 vulnerabilities require manual review. See the full report for details.
Additional information
No response
Reproduction
just run npm audit
贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
评估
这个 Issue 还没有评估数据。