[Dependency] lodash range ≥4.0.0 ≤4.17.22 flagged by audit (cloudinary → lodash)

Aperta
  • Qualcosa non va?
#734 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
58/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
javascript, nodejs
Ambito
backend, security

Direzione di ricerca

Inizia dalla dichiarazione della dipendenza cloudinary in package.json, quindi riproduci il risultato segnalato con npm install oppure bun install e bun audit. Verifica se l’intervallo risolto di lodash è ancora segnalato e aggiorna la dipendenza se appropriato; il lavoro è completato quando l’audit non segnala più la vulnerabilità transitiva e l’SDK ha una patch release.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Bug report for Cloudinary NPM SDK

Before proceeding, please update to latest version and test if the issue persists.

We are on [email protected] (latest on npm). bun audit still flags lodash pulled in by this package.

Describe the bug in a sentence or two.

The Cloudinary NPM SDK declares a dependency on lodash (^4.17.21 in [email protected]). The resolved lodash version falls in the range reported as vulnerable by multiple GitHub Security Advisories (lodash >=4.0.0 <=4.17.22). Security scanners (e.g. bun audit / npm audit) therefore report high and moderate findings on installs that only add cloudinary as a direct dependency.

Issue Type (Can be multiple)

  • Build - Can’t install or import the SDK
  • Babel - Babel errors or cross browser issues
  • Performance - Performance issues
  • Behaviour - Functions aren’t working as expected (Such as generate URL)
  • Documentation - Inconsistency between the docs and behaviour
  • Incorrect Types - For typescript users who are having problems with our d.ts files
  • Other (Specify): Transitive dependency vulnerability (lodash); audit reports CVEs/GHSAs after install

Steps to reproduce

  1. Create a minimal project with "cloudinary": "^2.9.0" in package.json.
  2. Run npm install or bun install.
  3. Run bun audit (or npm audit).
  4. Observe findings for lodash, dependency path cloudinary › lodash, vulnerable range >=4.0.0 <=4.17.22.

Error screenshots

bun audit output (excerpt):

Image

Suggested fix

Bump the lodash dependency in cloudinary to a patched version outside the vulnerable range (e.g. per the linked GHSAs, typically > 4.17.22 / latest 4.x patch), and release a patch version of the SDK so consumers clear audits without overrides / resolutions.

Lingua principale
JavaScript
Stelle
672
Fork
318
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

  • Nessun Dockerfile né file Docker Compose
  • Ha un modello di pull request
  • Nessuna guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di cloudinary/cloudinary_npm

Tutte le issue di cloudinary/cloudinary_npm

Issue simili

Altre issue su JavaScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.