Security: vulnerable dependency image-size (CVE-2025-71329/71330) — maintained drop-in available

Offen

#57,888 erstellt am 10.8.2026 3 Kommentare 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 58/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: javascript, react-native
Bereich: mobile-dev, security

Rechercherichtung

Beginne mit package.json und dem gezeigten imageSize-Import und prüfe, ob image-size direkt oder transitiv eingebunden wird und ob der vorgeschlagene Override greift. Als abgeschlossen gilt die Aufgabe, wenn die verwundbare Abhängigkeit nicht mehr aufgelöst wird und das gepflegte Paket die bestehende öffentliche API beibehält.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Context

This package depends on npm image-size. Upstream is archived and the latest release (2.0.2) remains affected by:

CVE-2025-71329 — DoS via infinite loop (JXL/HEIF/JP2 zero-size boxes)
CVE-2025-71330 — DoS via infinite loop (ICNS zero entry length)

npm audit fix will not switch package names automatically.

Maintained drop-in

Community MIT fork with the same public API as image-size@2.0.2:

npm: https://www.npmjs.com/package/image-size-next (image-size-next@2.1.0)
GitHub: https://github.com/lcf2212dev/image-size-next
Announcement: https://github.com/lcf2212dev/image-size-next/blob/main/ANNOUNCE.md

Not affiliated with the original image-size maintainer — honest community fork only.

Migration options

A — Direct dependency

npm install image-size-next

- import { imageSize } from 'image-size'
+ import { imageSize } from 'image-size-next'

B — Force transitive resolution (npm 8.3+)

{
  "overrides": {
    "image-size": "npm:image-size-next@2.1.0"
  }
}

Ask

Happy to open a PR for @kohout.jakub/react-native if useful. Thanks for maintaining open source.

Vorherrschende Sprache: C++
Sterne: 127k
Forks: 25.3k
PR-Merge-Kennzahlen: Keine gemergten PRs in 30 T.

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus react/react-native

Codegen: app codegenConfig with no spec files emits "${PODS_ROOT}/.." as Generate Specs input and causes an Xcode dependency cycle Offen

Needs: Author Feedback Needs: Repro

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 92/100

react/react-native#58621 · 1 Kommentar · Erstellt am 21.9.2026
Add TypeScript declaration for the performance global Offen

Needs: Author Feedback Needs: Repro

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

react/react-native#58610 · 1 Kommentar · Erstellt am 21.9.2026
`requestIdleCallback` is not defined in TS types Offen

Needs: Triage :mag:

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

react/react-native#58565 · 1 Kommentar · 2 Reaktionen · Erstellt am 16.9.2026
iOS: updateOSDeploymentTarget skips resource-bundle targets, so Xcode 27 fails the build with "deployment target ... supported range is 15.0" Offen

Needs: Author Feedback Needs: Repro

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 88/100

react/react-native#58555 · 5 Kommentare · 2 Reaktionen · Erstellt am 16.9.2026
[Android][Fabric] addViewAt hard-crashes on a placeholder ViewState synthesised by updateEventEmitter Offen

Needs: Attention Needs: Repro

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

react/react-native#58526 · 2 Kommentare · Erstellt am 14.9.2026

Alle Issues in react/react-native