Update `tar` for security
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 48/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 停滞
- 技術スタック
- node.js, typescript
- 領域
- security
調査の方向性
まず、パッケージマニフェストと lockfile で tar のエントリを見つけ、次にプロジェクトの Node 10+ サポート要件を踏まえて、リンクされている tar の changelog を読みます。依存関係をサポート対象で脆弱性のないリリースに更新し、依存関係のメタデータを更新して、セキュリティスキャナーが GHSA-f5x3-32g6-xq36 を報告しなくなったことを確認します。
索引モデルが issue の本文から書いたものです。
説明
The current version of tar being depended on (4.4.18) is vulnerable to GHSA-f5x3-32g6-xq36 - while it's unlikely to be exploitable in this context, it still would be good to resolve since it creates noise in security scanners.
tar 5 and 6 dropped support for Node 4, 6, and 8 but this package already only supports Node 10+ so that shouldn't be a problem.
- 主要言語
- TypeScript
- スター
- 1k
- フォーク
- 44
- 平均マージ
- 6分
- マージ済み PR（30日）
- 2
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
vercel/fun のほかの issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
-
CI status badge in README is broken (outdated workflow name)対応中かも @gr2m が 134 日前に担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 68/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 35/100
-
難易度 5/5 1週間以上 初心者へのやさしさ 15/100
-
難易度 3/5 1〜2日 初心者へのやさしさ 35/100
似ている issue
-
Add: MahdawiounTV HDオープンcheck:passed streams:add
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
iptv-org/iptv#56890 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
type: enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
franciscoBSalgueiro/en-croissant#1061 ·
メンテナーはふだん 3 日以内に返信
-
S: triage
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 1 日以内に返信
-
comp/desktop desktop/shell os/windows P3 tool/file type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
NousResearch/hermes-agent#145928 ·
メンテナーはふだん 1 日以内に返信