Dependency diff (jsdiff) has DoS vulnerability (CVE-2026-24001)
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 55/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 停滞
- 技术栈
- javascript
- 领域
- security
调研方向
未指定源文件或测试。首先定位 @flydotio/dockerfile 的依赖声明和 lockfile，然后确认解析出的 diff 版本。完成标准是将 diff 升级到 8.0.3 或更高版本的修复版本，并确认该依赖不再解析为 6.0.0–8.0.2。
由索引模型根据 Issue 内容生成。
描述
Summary
@flydotio/dockerfile depends on diff (jsdiff), which has a denial-of-service vulnerability (GHSA-73rr-hh4g-fpgx, CVE-2026-24001).
Vulnerability Details
- Affected methods:
parsePatchandapplyPatch - Impact: Infinite loop and unbounded memory consumption when patch filenames contain
\r,\u2028, or\u2029characters. A large payload is not needed to trigger the vulnerability. - CVSS: 2.7 (Low)
- Patched versions:
[email protected],5.2.2,4.0.4
Current state
@flydotio/dockerfile@>=0.7.5 depends on a vulnerable version of diff (6.0.0–8.0.2). Upgrading diff to >=8.0.3 would resolve the issue.
References
- 主要语言
- JavaScript
- 星标
- 187
- 派生
- 12
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
fly-apps/dockerfile-node 的其他 Issue
-
fly launch for Shopify apps fails: `shopify app deploy --force` — --force removed in Shopify CLI 4.x可能已有人在做 @chiliec 于 24 天前认领。 未关闭
难度 1/5 1 小时以内 新手友好度 84/100
fly-apps/dockerfile-node#151 · 1 条评论 ·
-
难度 2/5 1-3 小时 新手友好度 45/100
fly-apps/dockerfile-node#144 ·
-
难度 4/5 3-5 天 新手友好度 25/100
fly-apps/dockerfile-node#143 ·
-
难度 2/5 1-3 小时 新手友好度 45/100
fly-apps/dockerfile-node#91 · 1 条评论 ·
-
难度 4/5 3-5 天 新手友好度 42/100
fly-apps/dockerfile-node#60 · 1 条评论 · 1 个 reaction ·
查看 fly-apps/dockerfile-node 的全部 Issue
相似的 Issue
-
[scanner] check:spelling skips blog/ — posts and author metadata are never spell-checked可能已有人在做 @hivecommons-hive 今天认领。 未关闭agent/scanner bug hive/covered-by-pr hive/hosted-available-lke648397-260827-5n31
难度 1/5 1 小时以内 新手友好度 72/100
维护者通常 1 天内回复
-
Edit: HTVKey.vn未关闭channels:edit check:passed
难度 1/5 1 小时以内 新手友好度 72/100
维护者通常 6 天内回复
-
难度 2/5 1-3 小时 新手友好度 76/100
-
beginner bug
难度 1/5 1 小时以内 新手友好度 88/100
hiero-ledger/hiero-sdk-js#4517 ·
维护者通常 1 天内回复
-
`timer` rule rejects dates the engine accepts可能已有人在做 @MFA-G 今天认领。 未关闭bug ready
难度 2/5 1-3 小时 新手友好度 72/100
camunda/bpmnlint-plugin-camunda-compat#281 · 3 条评论 ·
维护者通常 1 天内回复