Vulnerability in downstream package
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 38/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Estancado
- Stack tecnológico
- typescript
Línea de trabajo
Empieza en app/lib/tfcommand.ts alrededor de la línea 691 e inspecciona cómo se usa clipboardy. Actualiza clipboardy a 4.0.0, ten en cuenta su API modificada en ese punto de llamada y verifica que la CLI siga copiando correctamente y que la auditoría de dependencias ya no informe de la versión vulnerable de cross-spawn.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Regular Expression Denial of Service (ReDoS) in cross-spawn
I am getting this audit result using the latest tfx-cli package (0.18.0)
cross-spawn <6.0.6
Severity: high
Regular Expression Denial of Service (ReDoS) in cross-spawn - https://github.com/advisories/GHSA-3xgq-45jj-v275
fix available via npm audit fix --force
Will install [email protected], which is a breaking change
node_modules/cross-spawn
execa 0.5.0 - 0.9.0
Depends on vulnerable versions of cross-spawn
node_modules/execa
clipboardy <=1.2.3
Depends on vulnerable versions of execa
node_modules/clipboardy
tfx-cli >=0.6.0
Depends on vulnerable versions of clipboardy
node_modules/tfx-cli
Fixing this appears to be pretty simple. Upgrading clipboardy to 4.0.0 would resolve the issue. It looks like the api has changed slightly, but since it is only used on one line in tfcommand.ts it should be quite simple to upgrade.
- Lenguaje dominante
- TypeScript
- Estrellas
- 385
- Forks
- 142
- Merge medio
- 2 d 11 h
- PR fusionados (30 d)
- 5
Preparar el entorno
Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de microsoft/tfs-cli
-
Area: tfx-cli triage
Dificultad 1/5 Menos de una hora Aptitud para principiantes 92/100
-
Error messages can be lost/truncated when tfx is run as a child process and failsPosiblemente ocupada @jessehouwing la tomó hace 13 días. AbiertoArea: tfx-cli triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
-
Area: tfx-cli DevOps enhancement
Dificultad 1/5 Menos de una hora Aptitud para principiantes 68/100
-
Area: tfx-cli triage
Dificultad 3/5 1-2 días Aptitud para principiantes 58/100
-
Area: tfx-cli triage
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
Todos los issues de microsoft/tfs-cli
Issues similares
-
area:docs bug triage:confirmed
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
Cotal-AI/Cotal#2875 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
GLM-5.3 available on bedrock nowAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
anomalyco/models.dev#8862 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
fix(data-lake): wizard source step still previews the local slug, not the server-disambiguated oneAbiertodata-lake
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
ready-for-triage
Dificultad 1/5 Menos de una hora Aptitud para principiantes 88/100
konflux-ci/konflux-ui#1596 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
enhancement good first issue priority: low size: XS
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día