[Dependency] lodash range ≥4.0.0 ≤4.17.22 flagged by audit (cloudinary → lodash)

Offen
  • Stimmt etwas nicht?
#734 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
58/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Ruhig
Tech-Stack
javascript, nodejs
Bereich
backend, security

Rechercherichtung

Beginne mit der Deklaration der cloudinary-Abhängigkeit in package.json, reproduziere dann das gemeldete Ergebnis mit npm install oder bun install und bun audit. Bestätige, ob der aufgelöste lodash-Bereich weiterhin beanstandet wird, und aktualisiere die Abhängigkeit gegebenenfalls; abgeschlossen ist die Aufgabe, wenn das Audit die transitive Schwachstelle nicht mehr meldet und das SDK eine Patch-Version veröffentlicht hat.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Bug report for Cloudinary NPM SDK

Before proceeding, please update to latest version and test if the issue persists.

We are on [email protected] (latest on npm). bun audit still flags lodash pulled in by this package.

Describe the bug in a sentence or two.

The Cloudinary NPM SDK declares a dependency on lodash (^4.17.21 in [email protected]). The resolved lodash version falls in the range reported as vulnerable by multiple GitHub Security Advisories (lodash >=4.0.0 <=4.17.22). Security scanners (e.g. bun audit / npm audit) therefore report high and moderate findings on installs that only add cloudinary as a direct dependency.

Issue Type (Can be multiple)

  • Build - Can’t install or import the SDK
  • Babel - Babel errors or cross browser issues
  • Performance - Performance issues
  • Behaviour - Functions aren’t working as expected (Such as generate URL)
  • Documentation - Inconsistency between the docs and behaviour
  • Incorrect Types - For typescript users who are having problems with our d.ts files
  • Other (Specify): Transitive dependency vulnerability (lodash); audit reports CVEs/GHSAs after install

Steps to reproduce

  1. Create a minimal project with "cloudinary": "^2.9.0" in package.json.
  2. Run npm install or bun install.
  3. Run bun audit (or npm audit).
  4. Observe findings for lodash, dependency path cloudinary › lodash, vulnerable range >=4.0.0 <=4.17.22.

Error screenshots

bun audit output (excerpt):

Image

Suggested fix

Bump the lodash dependency in cloudinary to a patched version outside the vulnerable range (e.g. per the linked GHSAs, typically > 4.17.22 / latest 4.x patch), and release a patch version of the SDK so consumers clear audits without overrides / resolutions.

Vorherrschende Sprache
JavaScript
Sterne
672
Forks
318
Keine gemergten PRs in 30 T.

Entwicklungsumgebung

  • Kein Dockerfile und keine Docker-Compose-Datei
  • Hat eine Pull-Request-Vorlage
  • Kein Beitragsleitfaden

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus cloudinary/cloudinary_npm

Alle Issues in cloudinary/cloudinary_npm

Ähnliche Issues

Weitere Issues zu JavaScript

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.