Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

CVE-2020-7608 (Medium) detected in multiple libraries

オープン
  • 何か問題がありますか？
#3 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
3/5
見積もり時間
1〜2日
初心者へのやさしさ
42/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
停滞
技術スタック
angular, typescript
領域
security

調査の方向性

angular-libs/package.json から始め、報告された @nrwl/cli、@nrwl/workspace、build-angular の依存関係パスを、それぞれの yargs-parser バージョンまで追跡します。報告された修正版を目標として使用し、脆弱なパッケージ 9.0.2、10.0.0、11.1.1 が依存関係ツリーに存在しなくなっていることを確認します。

索引モデルが issue の本文から書いたものです。

説明

security vulnerability

CVE-2020-7608 - Medium Severity Vulnerability

Vulnerable Libraries - yargs-parser-9.0.2.tgz, yargs-parser-10.0.0.tgz, yargs-parser-11.1.1.tgz

yargs-parser-9.0.2.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-9.0.2.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/@nrwl/cli/node_modules/yargs/node_modules/yargs-parser/package.json,angular-libs/node_modules/@nrwl/workspace/node_modules/yargs/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • workspace-9.3.0.tgz (Root Library)
    • yargs-11.1.1.tgz
      • ❌ yargs-parser-9.0.2.tgz (Vulnerable Library)
yargs-parser-10.0.0.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-10.0.0.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/@nrwl/workspace/node_modules/yargs-parser/package.json,angular-libs/node_modules/@nrwl/cli/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • workspace-9.3.0.tgz (Root Library)
    • ❌ yargs-parser-10.0.0.tgz (Vulnerable Library)
yargs-parser-11.1.1.tgz

the mighty option parser used by yargs

Library home page: https://registry.npmjs.org/yargs-parser/-/yargs-parser-11.1.1.tgz

Path to dependency file: angular-libs/package.json

Path to vulnerable library: angular-libs/node_modules/yargs-parser/package.json

Dependency Hierarchy:

  • build-angular-0.901.0.tgz (Root Library)
    • webpack-dev-server-3.10.3.tgz
      • yargs-12.0.5.tgz
        • ❌ yargs-parser-11.1.1.tgz (Vulnerable Library)

Found in HEAD commit: ffac37386769bb38a67df625c1aefe74a2a0eebc

Found in base branch: master

Vulnerability Details

yargs-parser could be tricked into adding or modifying properties of Object.prototype using a "proto" payload.

Publish Date: 2020-03-16

URL: CVE-2020-7608

CVSS 3 Score Details (5.3)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Local
    • Attack Complexity: Low
    • Privileges Required: Low
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: Low
    • Integrity Impact: Low
    • Availability Impact: Low

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Origin: https://github.com/yargs/yargs-parser/commit/63810ca1ae1a24b08293a4d971e70e058c7a41e2

Release Date: 2020-06-05

Fix Resolution: 5.0.1;13.1.2;15.0.1;18.1.1

Step up your Open Source Security Game with WhiteSource here

主要言語
TypeScript
スター
0
フォーク
0
30日以内にマージされた PR はありません

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

Jordan-Hall/angular-libs のほかの issue

Jordan-Hall/angular-libs の issue をすべて見る

似ている issue

TypeScript の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。