Vulnerability found in cybersource-rest-client SDK
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 35/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript, node.js
調査の方向性
Start by reviewing the dependency tree described in the issue and the package manifest to see how cybersource-rest-client brings in node-forge. Check the reported advisory and run npm audit to confirm the vulnerability; done means the SDK no longer depends on a vulnerable node-forge version without reverting to the outdated client version.
索引モデルが issue の本文から書いたものです。
説明
Currently our application scanned that cybersource-rest-client SDK is introducing vulnerability since it is relying on node-forge v1.4.0 dependency.
node-forge *
Severity: high
node-forge RSA PKCS#1 v1.5 signature verification accepts extra nested DigestAlgorithm elements - https://github.com/advisories/GHSA-86w9-cpqp-85rv
fix available via `npm audit fix --force`
Will install [email protected], which is a breaking change
node_modules/node-forge
cybersource-rest-client >=0.0.27
Depends on vulnerable versions of node-forge
node_modules/cybersource-rest-client
2 high severity vulnerabilities
https://github.com/digitalbazaar/forge/issues/1149
Unfortunately, it has no update from node-forge for months already. And executing npm audit fix to rollback to [email protected] is not a resolution since it is outdated and introduce more other vulnerabilities. Is there any opportunity to get rid of the node-forge dependency at this moment?
- 主要言語
- JavaScript
- スター
- 50
- フォーク
- 51
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
CyberSource/cybersource-rest-client-node のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
-
DeprecationWarning: The `punycode` module is deprecated. Please use a userland alternative insteadオープン
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 55/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 52/100
CyberSource/cybersource-rest-client-node#173 · リアクション 1 件 ·
-
難易度 3/5 半日 初心者へのやさしさ 35/100
CyberSource/cybersource-rest-client-node#148 · コメント 2 件 ·
CyberSource/cybersource-rest-client-node の issue をすべて見る
似ている issue
-
Build produces empty forge.min.js: package.json lists "forge" instead of "node-forge"対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 92/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
Fei2411/DeepSeek-Bot#963 · コメント 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Miaotofu01/Study-Mate#244 ·
メンテナーはふだん 1 日以内に返信
-
test-reliability
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Azure/azure-sdk-for-js#40672 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
txn2/mcp-data-platform#2492 ·
メンテナーはふだん 1 日以内に返信