Security issue with "extract-zip" and outdated "puppeteer" version
Valutazione
- Difficoltà
- 3/5
- Tempo stimato
- 1-2 giorni
- Idoneità per principianti
- 55/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- javascript, node.js
Direzione di ricerca
Inizia esaminando le dichiarazioni delle dipendenze di BackstopJS e riproduci il risultato segnalato con npm audit. Traccia le versioni di puppeteer e @puppeteer/browsers che introducono extract-zip, quindi verifica che l'aggiornamento della dipendenza rimuova GHSA-jmr9-qjv8-65gv senza compromettere i controlli esistenti di BackstopJS.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Hi everybody,
there is current security issue with "extract-zip" https://github.com/advisories/GHSA-jmr9-qjv8-65gv
Unfortunately, this is related to BackstopJS as you can see here below. While there is also "puppeteer" in this chain, there is no hope, they will solve the problem for us: https://github.com/puppeteer/puppeteer/issues/15333
It would be great to see an update of BackstopJS which uses a newer version of puppeteer.
# npm audit report
extract-zip *
Severity: high
extract-zip unvalidated symlink path traversal - https://github.com/advisories/GHSA-jmr9-qjv8-65gv
fix available via `npm audit fix --force`
Will install [email protected], which is a breaking change
node_modules/extract-zip
@puppeteer/browsers <=2.13.2
Depends on vulnerable versions of extract-zip
node_modules/@puppeteer/browsers
puppeteer 19.8.1 - 24.43.1
Depends on vulnerable versions of @puppeteer/browsers
Depends on vulnerable versions of puppeteer-core
node_modules/puppeteer
backstopjs >=6.3.1
Depends on vulnerable versions of puppeteer
node_modules/backstopjs
puppeteer-core 19.8.4 - 24.43.1
Depends on vulnerable versions of @puppeteer/browsers
node_modules/puppeteer-core
- Lingua principale
- JavaScript
- Stelle
- 7.2k
- Fork
- 617
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di garris/BackstopJS
-
Upgrade Node Image in Docker File to LTS versionForse di nuovo libera Una pull request per questa issue è stata chiusa senza essere unita. Aperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 62/100
garris/BackstopJS#1512 ·
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 68/100
garris/BackstopJS#576 · 6 commenti ·
-
Prerequisites missingAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 45/100
garris/BackstopJS#1619 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 35/100
garris/BackstopJS#1617 · 2 commenti ·
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 35/100
garris/BackstopJS#1615 ·
Tutte le issue di garris/BackstopJS
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
simstudioai/sim#9831 ·
I maintainer di solito rispondono entro 1 giorno
-
status: waiting for maintainer
Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100
mui/material-ui#49751 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100
I maintainer di solito rispondono entro 2 giorni
-
Edit: Monumental TV [PY]Apertachannels:edit check:passed
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 75/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno