Async: 在 lodash 中发现中等严重性漏洞

创建于 2019-02-04  ·  4评论  ·  资料来源: caolan/async

snyk报告您的一个依赖项 lodash 4.17.5的正则表达式拒绝服务漏洞。

✗ Medium severity vulnerability found in lodash
  Description: Regular Expression Denial of Service (ReDoS)
  Info: https://snyk.io/vuln/SNYK-JS-LODASH-73639
  Introduced through: [email protected]
  From: [email protected] > [email protected]
  Remediation:
    Your dependencies are out of date, otherwise you would be using a newer version of lodash. 
    Try deleting node_modules, reinstalling and running `snyk test` again. If the problem persists, one of your dependencies may be bundling outdated modules.

Analyzing npm dependencies for package.json
Querying vulnerabilities database...
Tested 255 dependencies for known vulnerabilities, found 3 vulnerabilities, 23 vulnerable paths.

? 2 vulnerabilities introduced via [email protected]
- info: https://snyk.io/package/npm/async/2.6.1

提前致谢!

最有用的评论

更新 lodash 没问题,我已经发布了 v2.6.2 更新。

所有4条评论

我们不使用这种方法,因此它不适用于我们。 我们删除了 lodash
v3.0。 我认为我们有一些问题要从那个未成年人迁移出去
Async 的 2.x 行上的 lodash 版本。

2019 年 2 月 8 日星期五凌晨 2:12,Daniel Scalzi < [email protected]写道:


您收到此消息是因为您订阅了此线程。
直接回复此邮件,在 GitHub 上查看
https://github.com/caolan/async/issues/1620#issuecomment-461784127或静音
线程
https://github.com/notifications/unsubscribe-auth/AAiEbmULsTIq6AwY5RHZJNcM60O1Lw7tks5vLWmygaJpZM4ah0sH
.

我认为一个简单的补丁更新就可以解决问题。

image

或在 npm 上将 v3.0.0 设置为latest ,因为目前它只是nextnpm outdated没有显示

更新 lodash 没问题,我已经发布了 v2.6.2 更新。

此页面是否有帮助?
0 / 5 - 0 等级