loopbackio / loopbackio/loopback-next
Security Scan "Vulnerability" CVE-2023-29827
Chưa có ai nhận issue này.
- Ngôn ngữ chính
- TypeScript
- Star
- 5.1k
- Fork
- 1.1k
- Merge trung bình
- 2 ngày 21 giờ
- Pull request đã merge (30 ngày)
- 27
Mô tả
Describe the bug
@loopback/rest triggers a critical security vulnerability due to strong-error-handler's dependency on ejs.
The vulnerability is currently disputed by ejs, but does the Loopback team have an official statement/documentation as to why this isn't a vulnerability in Loopback's usage of ejs or a plan to remove ejs entirely?
Thanks!
Relevant Links:
https://nvd.nist.gov/vuln/detail/CVE-2023-29827
https://github.com/advisories/GHSA-j5pp-6f4w-r5r6
https://github.com/mde/ejs/issues/720#issuecomment-1587399501
Logs
No response
Additional information
No response
Reproduction
Hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Hướng nghiên cứu
Rà soát đường dẫn phụ thuộc của @loopback/rest thông qua strong-error-handler đến ejs, cùng với CVE, advisory và cuộc thảo luận về ejs được liên kết. Xác định xem việc LoopBack sử dụng nó có bị ảnh hưởng hay không; công việc được hoàn tất khi có tài liệu chính thức giải thích tác động hoặc một kế hoạch cụ thể để loại bỏ ejs.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Đánh giá
- Công nghệ
- nodejs, typescript
- Lĩnh vực
- security
- Loại issue
- Lỗi
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức độ hoạt động
- Đình trệ
- Độ rõ ràng
- Cần làm rõ
- Mức phù hợp với người mới
- 25/100