Vulnerability found in cybersource-rest-client SDK
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 35/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- javascript, node.js
Direzione di ricerca
Start by reviewing the dependency tree described in the issue and the package manifest to see how cybersource-rest-client brings in node-forge. Check the reported advisory and run npm audit to confirm the vulnerability; done means the SDK no longer depends on a vulnerable node-forge version without reverting to the outdated client version.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Currently our application scanned that cybersource-rest-client SDK is introducing vulnerability since it is relying on node-forge v1.4.0 dependency.
node-forge *
Severity: high
node-forge RSA PKCS#1 v1.5 signature verification accepts extra nested DigestAlgorithm elements - https://github.com/advisories/GHSA-86w9-cpqp-85rv
fix available via `npm audit fix --force`
Will install [email protected], which is a breaking change
node_modules/node-forge
cybersource-rest-client >=0.0.27
Depends on vulnerable versions of node-forge
node_modules/cybersource-rest-client
2 high severity vulnerabilities
https://github.com/digitalbazaar/forge/issues/1149
Unfortunately, it has no update from node-forge for months already. And executing npm audit fix to rollback to [email protected] is not a resolution since it is outdated and introduce more other vulnerabilities. Is there any opportunity to get rid of the node-forge dependency at this moment?
- Lingua principale
- JavaScript
- Stelle
- 50
- Fork
- 50
- Merge medio
- 3g 19h
- PR unite (30g)
- 1
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di CyberSource/cybersource-rest-client-node
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
-
DeprecationWarning: The `punycode` module is deprecated. Please use a userland alternative insteadAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 55/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 52/100
CyberSource/cybersource-rest-client-node#173 · 1 reazione ·
-
Difficoltà 3/5 Mezza giornata Idoneità per principianti 35/100
CyberSource/cybersource-rest-client-node#148 · 2 commenti ·
Tutte le issue di CyberSource/cybersource-rest-client-node
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100
micromatch/picomatch#243 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
b310-digital/teammapper#1515 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 64/100
c1overzz/dsh-bili-scroll#153 ·
I maintainer di solito rispondono entro 1 giorno
-
01 type: bug 21 status: confirmed 41 lvl: easy 62 scope: viewer
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100
I maintainer di solito rispondono entro 1 giorno