Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

CVE-2020-7608 (Medium) detected in multiple libraries

Abierto
  • ¿Algo no está bien?
#3 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
42/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Estancado
Stack tecnológico
angular, typescript
Área
security

Línea de trabajo

Comience con angular-libs/package.json y siga las rutas de dependencias indicadas de @nrwl/cli, @nrwl/workspace y build-angular hasta sus versiones de yargs-parser. Use las versiones corregidas indicadas como objetivos y verifique que los paquetes vulnerables 9.0.2, 10.0.0 y 11.1.1 ya no estén presentes en el árbol de dependencias.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

security vulnerability

CVE-2020-7608 - Medium Severity Vulnerability

Vulnerable Libraries - yargs-parser-9.0.2.tgz, yargs-parser-10.0.0.tgz, yargs-parser-11.1.1.tgz

yargs-parser-9.0.2.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-9.0.2.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/@nrwl/cli/node_modules/yargs/node_modules/yargs-parser/package.json,angular-libs/node_modules/@nrwl/workspace/node_modules/yargs/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • workspace-9.3.0.tgz (Root Library)
    • yargs-11.1.1.tgz
      • ❌ yargs-parser-9.0.2.tgz (Vulnerable Library)
yargs-parser-10.0.0.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-10.0.0.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/@nrwl/workspace/node_modules/yargs-parser/package.json,angular-libs/node_modules/@nrwl/cli/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • workspace-9.3.0.tgz (Root Library)
    • ❌ yargs-parser-10.0.0.tgz (Vulnerable Library)
yargs-parser-11.1.1.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-11.1.1.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • build-angular-0.901.0.tgz (Root Library)
    • webpack-dev-server-3.10.3.tgz
      • yargs-12.0.5.tgz
        • ❌ yargs-parser-11.1.1.tgz (Vulnerable Library)

Found in HEAD commit: ffac37386769bb38a67df625c1aefe74a2a0eebc

Found in base branch: master

Vulnerability Details

yargs-parser could be tricked into adding or modifying properties of Object.prototype using a "proto" payload.

Publish Date: 2020-03-16

URL: CVE-2020-7608

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Local
    • Attack Complexity: Low
    • Privileges Required: Low
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: Low
    • Integrity Impact: Low
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/yargs/yargs-parser/commit/63810ca1ae1a24b08293a4d971e70e058c7a41e2

Release Date: 2020-06-05

Fix Resolution: 5.0.1;13.1.2;15.0.1;18.1.1

Step up your Open Source Security Game with WhiteSource here

Lenguaje dominante
TypeScript
Estrellas
0
Forks
0
Sin PR fusionados en 30 d

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de Jordan-Hall/angular-libs

Todos los issues de Jordan-Hall/angular-libs

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.