CVE: 2024-24750 in undici
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 25/100
- Tipo de issue
- Bug
- Clareza
- Precisa de esclarecimento
- Status de atividade
- Estagnada
- Stack de tecnologia
- javascript, node.js
- Domínio
- security
Direção de pesquisa
Revise a issue 2789 do undici, o PR 42 referenciado e a entrada do NVD para CVE-2024-24750; em seguida, verifique se o undici v5 é afetado. Considera-se concluído quando o impacto confirmado estiver documentado e tiver sido decidido se o upgrade para v6 é necessário para esta vulnerabilidade.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
The undici team asserts that this CVE only affects versions >= 6.0.0 and that the v5.x release is not impacted.
https://github.com/nodejs/undici/issues/2789
If this is true, then the PR here that upgrades undici from v5 to v6 is not required to address this CVE.
https://github.com/digitalbazaar/http-client/pull/42
Some vulnerability scanning tools (e.g. Veracode) rely on NVD as the source of truth wrt assessing impacted versions. This CVE is currently "Awaiting Analysis" at NVD
https://nvd.nist.gov/vuln/detail/CVE-2024-24750
We will continue testing the undici v6 upgrade while NVD performs their analysis.
20240306 - Still waiting analysis.
20240311 - Still waiting analysis.
20240319 - Still waiting analysis.
20240327 - Still waiting analysis.
20240703 - Still waiting analysis.
- Linguagem predominante
- JavaScript
- Estrelas
- 2
- Forks
- 8
- Métricas de merge de PRs
- Nenhum PR com merge em 30d
Preparar o ambiente
Este projeto não oferece contêiner de desenvolvimento, Dockerfile nem guia de contribuição, então a configuração fica por sua conta: comece pelo README e veja nosso guia da primeira contribuição para os passos gerais.
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de digitalbazaar/http-client
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 70/100
digitalbazaar/http-client#59 ·
-
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 35/100
digitalbazaar/http-client#45 · 1 comentário ·
-
Keep an eye on `node:undici` (or similar) exposing `undici` in `node` and remove `undici` dependencyAberta
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 30/100
digitalbazaar/http-client#43 ·
-
Dificuldade 5/5 Mais de uma semana Facilidade para iniciantes 15/100
digitalbazaar/http-client#37 ·
-
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 45/100
digitalbazaar/http-client#33 ·
Todas as issues de digitalbazaar/http-client
Issues semelhantes
-
bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 88/100
obsidianmd/obsidian-help#1169 ·
Mantenedores costumam responder em até 2 dias
-
[docs] RELEASE.md: wrong branch name, no check that the prepare PR merged with the right subject, manual publish stepTalvez já em andamento @albertteoh assumiu hoje. Abertadocumentation
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 85/100
jaegertracing/jaeger-ui#4739 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
-
documentation
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 74/100
keepassxreboot/keepassxc-browser#3159 · 1 comentário ·
-
Add: ESP 2 RSAbertaapproved check:passed feeds:add
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 67/100