Security issue with "extract-zip" and outdated "puppeteer" version
評価
- 難易度
- 3/5
- 見積もり時間
- 1〜2日
- 初心者へのやさしさ
- 55/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 活発
- 技術スタック
- javascript, node.js
調査の方向性
まず BackstopJS の依存関係の宣言を確認し、npm audit で報告された結果を再現します。extract-zip を取り込む puppeteer と @puppeteer/browsers のバージョンを追跡し、その後、依存関係を更新することで GHSA-jmr9-qjv8-65gv が削除され、BackstopJS の既存のチェックが壊れないことを確認します。
索引モデルが issue の本文から書いたものです。
説明
Hi everybody,
there is current security issue with "extract-zip" https://github.com/advisories/GHSA-jmr9-qjv8-65gv
Unfortunately, this is related to BackstopJS as you can see here below. While there is also "puppeteer" in this chain, there is no hope, they will solve the problem for us: https://github.com/puppeteer/puppeteer/issues/15333
It would be great to see an update of BackstopJS which uses a newer version of puppeteer.
# npm audit report
extract-zip *
Severity: high
extract-zip unvalidated symlink path traversal - https://github.com/advisories/GHSA-jmr9-qjv8-65gv
fix available via `npm audit fix --force`
Will install [email protected], which is a breaking change
node_modules/extract-zip
@puppeteer/browsers <=2.13.2
Depends on vulnerable versions of extract-zip
node_modules/@puppeteer/browsers
puppeteer 19.8.1 - 24.43.1
Depends on vulnerable versions of @puppeteer/browsers
Depends on vulnerable versions of puppeteer-core
node_modules/puppeteer
backstopjs >=6.3.1
Depends on vulnerable versions of puppeteer
node_modules/backstopjs
puppeteer-core 19.8.4 - 24.43.1
Depends on vulnerable versions of @puppeteer/browsers
node_modules/puppeteer-core
- 主要言語
- JavaScript
- スター
- 7.2k
- フォーク
- 617
- PR マージ指標
- 30日以内にマージされた PR はありません
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
garris/BackstopJS のほかの issue
-
Upgrade Node Image in Docker File to LTS version再び着手できるかも このイシューのプルリクエストはマージされずにクローズされました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 62/100
garris/BackstopJS#1512 ·
-
難易度 1/5 1時間未満 初心者へのやさしさ 68/100
garris/BackstopJS#576 · コメント 6 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 45/100
garris/BackstopJS#1619 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 35/100
garris/BackstopJS#1617 · コメント 2 件 ·
-
難易度 5/5 1週間以上 初心者へのやさしさ 35/100
garris/BackstopJS#1615 ·
garris/BackstopJS の issue をすべて見る
似ている issue
-
P2 Team S Type: Bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
google/site-kit-wp#14138 ·
メンテナーはふだん 2 日以内に返信
-
Agents bug status: needs triage
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
mastra-ai/mastra#29963 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
agent:either area:adapters priority:p3 type:chore
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
jojo-stand36/Tacet#251 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 67/100
Foundryborne/daggerheart#2611 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
メンテナーはふだん 1 日以内に返信