[Dependency] lodash range ≥4.0.0 ≤4.17.22 flagged by audit (cloudinary → lodash)

Ouverte
  • Quelque chose ne va pas ?
#734 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Personne n'a encore pris cette issue.

Évaluation

Difficulté
2/5
Temps estimé
1-3 heures
Accessibilité débutants
58/100
Type d'issue
Bug
Clarté
Plutôt claire
Activité
Calme
Stack technique
javascript, nodejs
Domaine
backend, security

Piste de recherche

Commencez par la déclaration de la dépendance cloudinary dans package.json, puis reproduisez le résultat signalé avec npm install ou bun install et bun audit. Vérifiez si la plage résolue de lodash est toujours signalée et mettez à jour la dépendance si nécessaire ; c’est terminé lorsque l’audit ne signale plus la vulnérabilité transitive et que le SDK dispose d’une version de correctif.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

Bug report for Cloudinary NPM SDK

Before proceeding, please update to latest version and test if the issue persists.

We are on [email protected] (latest on npm). bun audit still flags lodash pulled in by this package.

Describe the bug in a sentence or two.

The Cloudinary NPM SDK declares a dependency on lodash (^4.17.21 in [email protected]). The resolved lodash version falls in the range reported as vulnerable by multiple GitHub Security Advisories (lodash >=4.0.0 <=4.17.22). Security scanners (e.g. bun audit / npm audit) therefore report high and moderate findings on installs that only add cloudinary as a direct dependency.

Issue Type (Can be multiple)

  • Build - Can’t install or import the SDK
  • Babel - Babel errors or cross browser issues
  • Performance - Performance issues
  • Behaviour - Functions aren’t working as expected (Such as generate URL)
  • Documentation - Inconsistency between the docs and behaviour
  • Incorrect Types - For typescript users who are having problems with our d.ts files
  • Other (Specify): Transitive dependency vulnerability (lodash); audit reports CVEs/GHSAs after install

Steps to reproduce

  1. Create a minimal project with "cloudinary": "^2.9.0" in package.json.
  2. Run npm install or bun install.
  3. Run bun audit (or npm audit).
  4. Observe findings for lodash, dependency path cloudinary › lodash, vulnerable range >=4.0.0 <=4.17.22.

Error screenshots

bun audit output (excerpt):

Image

Suggested fix

Bump the lodash dependency in cloudinary to a patched version outside the vulnerable range (e.g. per the linked GHSAs, typically > 4.17.22 / latest 4.x patch), and release a patch version of the SDK so consumers clear audits without overrides / resolutions.

Langage dominant
JavaScript
Étoiles
672
Forks
318
Aucune PR mergée en 30 j

Préparer son environnement

  • Aucun Dockerfile ni fichier Docker Compose
  • Propose un modèle de pull request
  • Aucun guide de contribution

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de cloudinary/cloudinary_npm

Toutes les issues de cloudinary/cloudinary_npm

Issues similaires

Plus d'issues JavaScript

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.