CVE: 2024-24750 in undici
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Anfängerfreundlichkeit
- 25/100
- Issue-Typ
- Bug
- Klarheit
- Muss geklärt werden
- Aktivitätsstatus
- Veraltet
- Tech-Stack
- javascript, node.js
- Bereich
- security
Rechercherichtung
Prüfe das undici-Issue 2789, den referenzierten PR 42 und den NVD-Eintrag für CVE-2024-24750 und verifiziere anschließend, ob undici v5 betroffen ist. Als abgeschlossen gilt die Aufgabe, wenn die bestätigten Auswirkungen dokumentiert und entschieden wurde, ob das Upgrade auf v6 für diese Schwachstelle erforderlich ist.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
The undici team asserts that this CVE only affects versions >= 6.0.0 and that the v5.x release is not impacted.
https://github.com/nodejs/undici/issues/2789
If this is true, then the PR here that upgrades undici from v5 to v6 is not required to address this CVE.
https://github.com/digitalbazaar/http-client/pull/42
Some vulnerability scanning tools (e.g. Veracode) rely on NVD as the source of truth wrt assessing impacted versions. This CVE is currently "Awaiting Analysis" at NVD
https://nvd.nist.gov/vuln/detail/CVE-2024-24750
We will continue testing the undici v6 upgrade while NVD performs their analysis.
20240306 - Still waiting analysis.
20240311 - Still waiting analysis.
20240319 - Still waiting analysis.
20240327 - Still waiting analysis.
20240703 - Still waiting analysis.
- Vorherrschende Sprache
- JavaScript
- Sterne
- 2
- Forks
- 8
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Entwicklungsumgebung
Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus digitalbazaar/http-client
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100
digitalbazaar/http-client#59 ·
-
Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 35/100
digitalbazaar/http-client#45 · 1 Kommentar ·
-
Keep an eye on `node:undici` (or similar) exposing `undici` in `node` and remove `undici` dependencyOffen
Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 30/100
digitalbazaar/http-client#43 ·
-
Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 15/100
digitalbazaar/http-client#37 ·
-
Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 45/100
digitalbazaar/http-client#33 ·
Alle Issues in digitalbazaar/http-client
Ähnliche Issues
-
bug
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 88/100
obsidianmd/obsidian-help#1169 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
[docs] RELEASE.md: wrong branch name, no check that the prepare PR merged with the right subject, manual publish stepEvtl. vergeben @albertteoh hat das heute übernommen. Offendocumentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100
jaegertracing/jaeger-ui#4739 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 74/100
keepassxreboot/keepassxc-browser#3159 · 1 Kommentar ·
-
Add: ESP 2 RSOffenapproved check:passed feeds:add
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 67/100