Vulnerability in downstream package
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 38/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Ferma
- Stack tecnologico
- typescript
Direzione di ricerca
Inizia in app/lib/tfcommand.ts intorno alla riga 691 e verifica come viene usato clipboardy. Aggiorna clipboardy alla versione 4.0.0, considera la modifica della sua API in quel punto di chiamata e verifica che la CLI continui a copiare correttamente e che l'audit delle dipendenze non segnali più la versione vulnerabile di cross-spawn.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Regular Expression Denial of Service (ReDoS) in cross-spawn
I am getting this audit result using the latest tfx-cli package (0.18.0)
cross-spawn <6.0.6
Severity: high
Regular Expression Denial of Service (ReDoS) in cross-spawn - https://github.com/advisories/GHSA-3xgq-45jj-v275
fix available via npm audit fix --force
Will install [email protected], which is a breaking change
node_modules/cross-spawn
execa 0.5.0 - 0.9.0
Depends on vulnerable versions of cross-spawn
node_modules/execa
clipboardy <=1.2.3
Depends on vulnerable versions of execa
node_modules/clipboardy
tfx-cli >=0.6.0
Depends on vulnerable versions of clipboardy
node_modules/tfx-cli
Fixing this appears to be pretty simple. Upgrading clipboardy to 4.0.0 would resolve the issue. It looks like the api has changed slightly, but since it is only used on one line in tfcommand.ts it should be quite simple to upgrade.
- Lingua principale
- TypeScript
- Stelle
- 385
- Fork
- 142
- Merge medio
- 2g 11h
- PR unite (30g)
- 5
Preparare l'ambiente
Avvia il container di sviluppo del progetto nel browser, con il tuo account GitHub.
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di microsoft/tfs-cli
-
Area: tfx-cli triage
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 92/100
-
Error messages can be lost/truncated when tfx is run as a child process and failsForse già presa @jessehouwing l’ha presa 11 giorni fa. ApertaArea: tfx-cli triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
-
Area: tfx-cli DevOps enhancement
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 68/100
-
Area: tfx-cli triage
Difficoltà 3/5 1-2 giorni Idoneità per principianti 58/100
-
Area: tfx-cli triage
Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100
Tutte le issue di microsoft/tfs-cli
Issue simili
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 86/100
tomjn/coilbox-hub#454 ·
I maintainer di solito rispondono entro 1 giorno
-
Scheduler button hover stateApertafrontend
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
icssc/peterportal-client#1224 · 1 commento ·
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
I maintainer di solito rispondono entro 1 giorno
-
api: spanner
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
googleapis/google-cloud-node#9513 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 92/100
I maintainer di solito rispondono entro 1 giorno