axios security issue
Maintainer thường phản hồi trong vòng 3 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 3/5
- Thời gian dự kiến
- 1-2 ngày
- Mức phù hợp với người mới
- 45/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Đình trệ
- Công nghệ
- javascript
- Lĩnh vực
- security
Hướng nghiên cứu
Start with packages/rbac/package.json, where @redhat-cloud-services/rbac-client is pinned to axios@^0.27.2, and review the linked CVE and upstream axios issue. Determine the latest compatible axios version and update the dependency; done means the package no longer uses the vulnerable version without breaking the client.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Hi,
We got a new CVE ticket about axios for our project (OCM):
https://issues.redhat.com/browse/OCMUI-1491
CVE-2023-45857 axios: exposure of confidential data stored in cookies
https://bugzilla.redhat.com/show_bug.cgi?id=2248979
An issue discovered in Axios 1.5.1 inadvertently reveals the confidential XSRF-TOKEN stored in cookies by including it in the HTTP header X-XSRF-TOKEN for every request made to any host allowing attackers to view sensitive information.
https://github.com/axios/axios/issues/6006
https://github.com/jeffbski/wait-on/pull/147
@redhat-cloud-services/rbac-client is on axios@^0.27.2
https://github.com/RedHatInsights/javascript-clients/blob/f9cafa3881c9e5e5cb52ac30b9088b83c52ac467/packages/rbac/package.json#L27
It's not clear if the reported issue was introduced with 1.5.1. Anyway, older versions of axios got their share of CVEs reported over time.
Do you think it could be possible to update it to latest?
Thanks!
- Ngôn ngữ chính
- TypeScript
- Star
- 8
- Fork
- 37
- Merge trung bình
- 3 ngày 22 giờ
- Pull request đã merge (30 ngày)
- 27
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của RedHatInsights/javascript-clients
-
rbac-client doesn't work with an object as a paramCó thể làm lại được Pull request cho issue này đã bị đóng mà không được merge. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 48/100
RedHatInsights/javascript-clients#372 ·
Maintainer thường phản hồi trong vòng 3 ngày
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 48/100
RedHatInsights/javascript-clients#370 ·
Maintainer thường phản hồi trong vòng 3 ngày
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 35/100
RedHatInsights/javascript-clients#369 · 2 bình luận ·
Maintainer thường phản hồi trong vòng 3 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 30/100
RedHatInsights/javascript-clients#166 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 3 ngày
Tất cả issue của RedHatInsights/javascript-clients
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
kunchenguid/gh-axi#247 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
bug
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
lidge-jun/opencodex#8101 · 2 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
effort:S P3 refactor
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
nightscout/nocturne#3243 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
JuliusBrussee/caveman#1449 ·
Maintainer thường phản hồi trong vòng 1 ngày