CVE: 2024-24750 in undici
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 25/100
- Type d'issue
- Bug
- Clarté
- À clarifier
- Activité
- À l'abandon
- Stack technique
- javascript, node.js
- Domaine
- security
Piste de recherche
Examinez l’issue 2789 de undici, le PR 42 référencé et l’entrée NVD pour CVE-2024-24750, puis vérifiez si undici v5 est affecté. La tâche est considérée comme terminée lorsque l’impact confirmé est documenté et qu’il a été décidé si la mise à niveau vers v6 est requise pour cette vulnérabilité.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
The undici team asserts that this CVE only affects versions >= 6.0.0 and that the v5.x release is not impacted.
https://github.com/nodejs/undici/issues/2789
If this is true, then the PR here that upgrades undici from v5 to v6 is not required to address this CVE.
https://github.com/digitalbazaar/http-client/pull/42
Some vulnerability scanning tools (e.g. Veracode) rely on NVD as the source of truth wrt assessing impacted versions. This CVE is currently "Awaiting Analysis" at NVD
https://nvd.nist.gov/vuln/detail/CVE-2024-24750
We will continue testing the undici v6 upgrade while NVD performs their analysis.
20240306 - Still waiting analysis.
20240311 - Still waiting analysis.
20240319 - Still waiting analysis.
20240327 - Still waiting analysis.
20240703 - Still waiting analysis.
- Langage dominant
- JavaScript
- Étoiles
- 2
- Forks
- 8
- Métriques de merge des PR
- Aucune PR mergée en 30 j
Préparer son environnement
Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de digitalbazaar/http-client
-
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
digitalbazaar/http-client#59 ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
digitalbazaar/http-client#45 · 1 commentaire ·
-
Keep an eye on `node:undici` (or similar) exposing `undici` in `node` and remove `undici` dependencyOuverte
Difficulté 3/5 1-2 jours Accessibilité débutants 30/100
digitalbazaar/http-client#43 ·
-
Difficulté 5/5 Plus d'une semaine Accessibilité débutants 15/100
digitalbazaar/http-client#37 ·
-
Use local server for testing.Ouverte
Difficulté 3/5 1-2 jours Accessibilité débutants 45/100
digitalbazaar/http-client#33 ·
Toutes les issues de digitalbazaar/http-client
Issues similaires
-
bug
Difficulté 2/5 1-3 heures Accessibilité débutants 88/100
obsidianmd/obsidian-help#1169 ·
Les mainteneurs répondent en général sous 2 jours
-
[docs] RELEASE.md: wrong branch name, no check that the prepare PR merged with the right subject, manual publish stepPeut-être pris @albertteoh l’a pris aujourd’hui. Ouvertedocumentation
Difficulté 2/5 1-3 heures Accessibilité débutants 85/100
jaegertracing/jaeger-ui#4739 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
-
documentation
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100
keepassxreboot/keepassxc-browser#3159 · 1 commentaire ·
-
Add: ESP 2 RSOuverteapproved check:passed feeds:add
Difficulté 1/5 Moins d'une heure Accessibilité débutants 67/100