Github 高危安全漏洞：带有 Node.js 应用程序的 GHSA-7fhm-mqm4-2wp7答案

【问题标题】：Github high severity security vulnerabilities: GHSA-7fhm-mqm4-2wp7 with a Node.js appGithub 高危安全漏洞：带有 Node.js 应用程序的 GHSA-7fhm-mqm4-2wp7
【发布时间】：2020-06-26 07:31:54
【问题描述】：

在我的 node.js 应用程序上将 nodemon 添加到 devDependencies 后，我在 GitHub 上收到了安全警报：

中度严重易受攻击的版本：

svjsl (JSLib-npm) 的 1.8.3 及更低版本易受攻击，但前提是安装在开发人员环境中。已发布修复这些漏洞的补丁 (v1.8.4)。

标识符：

CVE-2020-7598 SNYK-JS-ACORN-559469（没有 CVE 标识符）

我的 package.json ：

{
      "name": "web-server",
      "version": "1.0.0",
      "description": "",
      "main": "app.js",
      "scripts": {
        "start": "node src/app.js",
        "dev": "nodemon src/app.js -e js,hbs"
      },
      "keywords": [],
      "author": "",
      "license": "ISC",
      "dependencies": {
        "express": "^4.17.1",
        "hbs": "^4.1.0"
      },
      "devDependencies": {
        "nodemon": "^2.0.2"
      }
    }

我不知道我应该做什么，或者我应该提供有关我的应用的更多信息/代码。

Github 仓库：https://github.com/badrddinb/simple-weather-website

【问题讨论】：

这是私人仓库吗？
nodemon 或其依赖项之一取决于该库。显式添加一个易受攻击的库版本，该版本不易受您的devDependencies 攻击。如果某个库抱怨（或不工作） - 向该库维护者提出问题。
我在最后一行提供了我的 Github repo！

标签： javascript node.js git github nodemon

【解决方案1】：

"minimist": {"version": "0.0.10",} 在您的 package-lock.json 中导致 ^^ 问题。 https://nvd.nist.gov/vuln/detail/CVE-2020-7598

补救将 minimist 升级到 1.2.2 或更高版本。例如：

“依赖”：{“极简主义”：“>=1.2.2”}

或者……

"devDependencies": {"minimist": ">=1.2.2"}

【讨论】：

【解决方案2】：

问题是您的依赖项之一依赖于我的库的过时版本。您可以将"svjsl": "^1.8.4" 添加到"devDependencies" 对象，或者将“package-lock.json”文件中"svjsl" 的每次出现设置为具有"^1.8.4" 的版本和"sha512-U+RX1x7Tslxx68GAr1F9wBaRAjCA9cFliOSOvtWqVuVg0IRUdStsMYah/3Q8gluRomD/h3co7q4MYU62kTwzmA==" 的完整性。
查看哪个软件包依赖于过时版本并联系该软件包的作者告诉他们将 svjsl 更新到较新的版本也是一个好主意。

【讨论】：

警报发生在依赖关系树中某处有minimist（或acorn）的所有项目中，它与svjsl无关。我在多个项目中得到它，其中yarn.lock 或package-lock.json 根本不包含字符串svjsl。
@Tulir 我知道问题不是来自我的包，而是 OP 提到的警报是我自己为那个包创建的，所以我猜他们正在使用svjsl
正如我所说，无论他们是否使用 svjsl，每个使用 minimist 或 acorn 的人都会看到确切的警报。我不确定 GitHub 为何对每个人都使用您的警报，但事实就是如此。
嗯这确实很奇怪