loopbackio / loopbackio/loopback-next
Security Scan "Vulnerability" CVE-2023-29827
まだ誰も着手していません。
- 主要言語
- TypeScript
- スター
- 5.1k
- フォーク
- 1.1k
- 平均マージ
- 2日 21時間
- マージ済み PR（30日）
- 27
説明
### Describe the bug
@loopback/rest triggers a critical security vulnerability due to strong-error-handler's dependency on [ejs](https://github.com/mde/ejs).
The vulnerability is currently [disputed by ejs](https://nvd.nist.gov/vuln/detail/CVE-2023-29827), but does the Loopback team have an official statement/documentation as to why this isn't a vulnerability in Loopback's usage of ejs or a plan to remove ejs entirely?
Thanks!
Relevant Links:
https://nvd.nist.gov/vuln/detail/CVE-2023-29827
https://github.com/advisories/GHSA-j5pp-6f4w-r5r6
https://github.com/mde/ejs/issues/720#issuecomment-1587399501
### Logs
_No response_
### Additional information
_No response_
### Reproduction
https://nvd.nist.gov/vuln/detail/CVE-2023-29827
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
調査の方向性
@loopback/rest の strong-error-handler 経由で ejs に至る依存関係の経路を、関連付けられた CVE、advisory、ejs の議論とともに確認します。LoopBack の使用が影響を受けるかどうかを判断します。影響を説明する公式ドキュメント、または ejs を削除するための明確な計画が定まれば完了です。
索引モデルが issue の本文から書いたものです。
評価
- 技術スタック
- nodejs, typescript
- 領域
- security
- issue の種類
- バグ
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 活発さ
- 停滞
- 明瞭さ
- 説明が足りない
- 初心者へのやさしさ
- 25/100