Request for dependency updates to address critical / major vulnerabilities
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 35/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Khá rõ ràng
- Mức độ hoạt động
- Ít trao đổi
- Công nghệ
- angular, javascript
Hướng nghiên cứu
Bắt đầu bằng cách chạy npm audit --production và lần theo các đường dẫn được báo cáo cho speech-sdk, swiper và request. Xem xét issue Adaptive Cards được liên kết cùng các blocker Angular và request đã nêu; được xem là hoàn tất khi các dependency dễ bị tấn công đã được cập nhật hoặc các blocker còn lại không thể khắc phục đã được ghi chép rõ ràng.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Is it an issue related to Adaptive Cards?
No response
Is this an accessibility issue?
No response
What version of Web Chat are you using?
Latest production
Which distribution are you using Web Chat from?
NPM
Which hosting environment does this issue primarily affect?
Web apps
Which browsers and platforms do the issue happened?
No response
Which area does this issue affect?
Others or unrelated
Which theme pack does this issue affect?
I did not test it on other theme packs
What is the public URL for the website?
http://virtualagent.hpcloud.hp.com/
Please describe the bug
Critical Issues
- [email protected] - Prototype Pollution Currently pinned for adaptivecards compatibility. Versions 6.5.1-12.1.1 are vulnerable, fix is 12.2.0. Advisory: GHSA-hmx5-qpq5-p643
- form-data < 2.5.4 - Unsafe Random + CRLF Injection Comes from deprecated request package. No fix available since request is unmaintained. Advisories: GHSA-fjxv-7rqg-78g4, GHSA-hmw2-7cc7-3qxx
- @angular/common ⇐ 19.2.15 - XSRF Token Leak Transitive dependency from [email protected]. Fix available in 19.2.16+. Advisory: GHSA-58c5-g7wp-6w37
- @angular/core ⇐ 18.2.14 - XSS Issues Also from [email protected]. Multiple XSS vulnerabilities in i18n and SVG handling. Advisories: GHSA-prjf-86w9-mfqv, GHSA-g93w-mfhg-p222, GHSA-jrmj-c5cx-3cw6
High Severity Issues :
(same speech-sdk blocker as above):
5. @angular/common: GHSA-p3vc-36g9-x9gr (DoS via OOM), GHSA-q6f4-qqrg-jv6x (Info Leak), GHSA-48r7-hpm6-gfxm (DoS)
6. @angular/core: GHSA-rgjc-h3x7-9mwg (DOM Clobbering), GHSA-692r-grfm-v8x7 (Template XSS)
What's Blocking Fixes
- Speech SDK 1.17.0 pulls in old Angular versions
- Adaptive Cards needs swiper v8 specifically
- The request package is deprecated with no replacement
What Would Help
If you could update:
- Speech SDK to use fixed Angular versions
- Adaptive Cards to work with swiper 12+ (logged separately https://github.com/microsoft/AdaptiveCards/issues/9381)
- Replace request with a maintained HTTP client
Do you see any errors in console log?
How to reproduce the issue?
n/a
What do you expect?
If you could update:
- Speech SDK to use fixed Angular versions
- Adaptive Cards to work with swiper 12+ (NOTE: this will be logged as an issue in the AdaptiveCard repo)
- Replace request with a maintained HTTP client
What actually happened?
n/a
Do you have any screenshots or recordings to repro the issue?
n/a
Adaptive Card JSON
Additional context
Vulnerabilities discovered via npm audit --production
- Ngôn ngữ chính
- HTML
- Star
- 1.8k
- Fork
- 1.6k
- Merge trung bình
- 17 giờ 55 phút
- Pull request đã merge (30 ngày)
- 3
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của microsoft/BotFramework-WebChat
-
Bot Services bug customer-reported
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 65/100
microsoft/BotFramework-WebChat#5165 ·
-
area-accessibility Bot Services bug customer-reported
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
microsoft/BotFramework-WebChat#5861 ·
-
Bot Services bug customer-reported
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 58/100
microsoft/BotFramework-WebChat#5859 ·
-
{Linked:Bug39040012}[Agent Builder Skills] [Web][Testing an agent with a skill in the Preview tab] [ScreenReader]: Copied message is disappearing immediately and users are unable to get that messageCó thể đã có người làm @ahonamatata đã nhận 4 ngày trước. Đang mởarea-accessibility Bot Services bug customer-reported
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 45/100
microsoft/BotFramework-WebChat#5857 ·
-
A11ySev3 A11yWCAG area-accessibility Bot Services BotFrameworkWebChat_Web bug customer-reported
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
microsoft/BotFramework-WebChat#5856 ·
Tất cả issue của microsoft/BotFramework-WebChat
Issue tương tự
-
fix(data-lake): wizard source step still previews the local slug, not the server-disambiguated oneĐang mởdata-lake
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
Maintainer thường phản hồi trong vòng 1 ngày
-
enhancement good first issue priority: low size: XS
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Empty label or headline exports the editor hint ("LABEL" / "Headline goes here") into the PNGĐang mở
Độ khó 1/5 1-3 giờ Mức phù hợp với người mới 88/100
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
streamplace/streamplace#1351 ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
chingu-voyages/V62-tier3-team-33#275 ·
Maintainer thường phản hồi trong vòng 1 ngày