首页
学习
活动
专区
工具
TVP
发布
社区首页 >问答首页 >hoek节点模块的Github潜在安全漏洞错误

hoek节点模块的Github潜在安全漏洞错误
EN

Stack Overflow用户
提问于 2018-04-27 09:33:58
回答 8查看 8K关注 0票数 19

今天,github在我的github存储库中显示了以下错误:

我们在您的一个依赖项中发现了一个潜在的安全漏洞。./package-lock.json中定义的依赖项具有已知的安全漏洞,应进行更新。

单击Review vulnerable dependency按钮时,将显示以下消息:

hoek节点模块5.0.3之前的版本存在通过“merge”修改假定不可变数据(MAID)漏洞

直到昨天,它还没有显示出这样的错误。我已经超过5天没有对这个存储库进行任何推送了。知道为什么会发生这种事吗?

EN

回答 8

Stack Overflow用户

回答已采纳

发布于 2018-05-06 06:34:03

如果易受攻击的包被声明为直接项目的依赖项,则npm update应该只工作于。但通常(就像hoek的情况一样),漏洞会将放在那些包中,这些包的位于您的子依赖关系树中。

由于在我的示例中,我决定不更新项目的所有依赖项(通过删除和重新构建整个package-lock.json文件),我采用了以下方法(当然,也更耗时):

在my package-lock.json

  • follow up和依赖关系树中重新安装有漏洞的软件包的所有版本,以查找哪些版本的顶级软件包导入了them

  • uninstall和,并使用相同的次要版本重新安装那些顶级软件包

像这样:

npm r package-1 package-2 && npm i package-1@^1.2.3 package-2@^1.2.3

只有在修复并发布了易受攻击的包,并且使用的包使用loose version number open to patch or minor versions导入易受攻击的包时,此方法才有效。

票数 5
EN

Stack Overflow用户

发布于 2018-04-27 16:24:44

我使用:rm package-lock.json && npm update && npm install。对我来说,这个更新后的4.2.1 hoek也包含修复程序(per this comment.)

编辑:在另一个应用程序中,我运行了rm package-lock.jsonnpm i hoek && npm up && npm i && npm un hoeknpm i hoek && npm un hoek && npm up && npm i (无法调用订单),后者更符合with this comment (from JamesSingleton)

(rm package-lock.json只有在它存在的情况下才会存在。)

编辑:在第三个应用中,我检查了npm outdated,发现我必须将react-scripts-ts2.13.0升级到2.15.1。为此,我手动更新了package.json,然后运行npm i。一旦完成,hoek就会更新到4.2.1. (专门针对那个坚持/主要组件)。

Zurb编辑: My solution for a Zurb Foundation 6 Site:

我使用npm outdated将我所有的包更新到它们的主要版本。然后我运行:

npm i hoek@latest --save && npm up hoek

npm i boom hawk sntp uncss gulp-uncss --save && npm up boom hawk sntp uncss gulp-uncss && npm un boom hawk sntp gulp-uncss uncss --save

有两个顽固不化的人:browser-sync : 2.23.7node-sass : 4.9.0,都是最新版本。不要紧:提交后解决了GitHub警告。

票数 8
EN

Stack Overflow用户

发布于 2018-04-27 18:06:27

我使用npm update hoek && npm install hoek,包被更新到5.0.3。

在那之后,漏洞警报从我的github Repo中消失了。

票数 5
EN
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接:

https://stackoverflow.com/questions/50053991

复制
相关文章

相似问题

领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档