Как бороться с уязвимостями Axios в версиях 1.0.0 - 1.5.1 и >= 1.3.2?
Когда я запускаю npm install, у меня умеренная уязвимость, как ее исправить?
1 moderate severity vulnerability
To address all issues, run:
npm audit fix
Run `npm audit` for details.
# npm audit report
axios 1.0.0 - 1.5.1
Severity: moderate
Axios Cross-Site Request Forgery Vulnerability - https://github.com/advisories/GHSA-wf5p-g6vw-rhxx
fix available via `npm audit fix`
node_modules/axios
1 moderate severity vulnerability
To address all issues, run:
npm audit fix
Однако когда я запускаю npm audit fix, я получаю еще большую уязвимость:
# npm audit report
axios >=1.3.2
Severity: high
Server-Side Request Forgery in axios - https://github.com/advisories/GHSA-8hc4-vh64-cxmj
fix available via `npm audit fix`
node_modules/axios
1 high severity vulnerability
To address all issues, run:
npm audit fix
Не могли бы вы помочь мне устранить эти Axios уязвимости?
Вчера была обнаружена уязвимость высокой степени серьезности. Еще не было достаточно времени, чтобы это исправить. Вам остается либо дождаться обновления, устраняющего уязвимость, либо оценить, влияют ли существующие уязвимости на ваш проект и каким образом, а затем на основе этого выбрать версию Axios.
@nbokmans Я уже пробовал это, запустив npm update, и получил высокую уязвимость.
На данный момент я предпочитаю использовать версию 1.3.1, потому что она имеет лишь умеренную уязвимость, а не высокую, как последняя на данный момент 1.7.3. @GuyIncognito
Вы прочитали и поняли jeffhacks.com/advisories/2024/06/24/CVE-2024-39338.html? Действительно ли ваше приложение уязвимо? Если вы не используете axios на сервере для отправки запросов с URL-адресами, созданными на основе входных данных, контролируемых злоумышленником, у вас нет проблем.
Вышла версия 1.7.4, можно обновить, CVE исправлено
![Безумие обратных вызовов в javascript [JS]](https://i.imgur.com/WsjO6zJb.png)
Ответы 1
Спасибо, @Адри. Сейчас вышла версия 1.7.4, и высокая уязвимость исправлена.
Я побежал:
npm audit fix
И никаких уязвимостей больше!
Неужели простого обновления до последней версии Axios (на данный момент 1.7.3) недостаточно? Вероятно, эти вопросы решены.