search

brigadecore / kashti

Kashti is a dashboard for your Brigade v1 pipelines.
http://kashti.sh
Apache License 2.0
377 stars 46 forks source link

Fix vulnerable dev dependencies #281

Closed radu-matei closed 4 years ago

radu-matei commented 4 years ago

There are vulnerable packages we need to update - note, however, that all vulnerabilities come from dev dependencies, which means no vulnerable package actually reaches production.

We should also add a yarn audit target to CI, so we regularly audit all packages - see #279 and #280 

8 vulnerabilities found - Packages audited: 19270
Severity: 3 Moderate | 5 High
✨  Done in 1.08s.
yarn audit v1.21.1
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high          │ Arbitrary File Write via Archive Extraction                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ adm-zip                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.4.9                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ protractor                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ protractor > webdriver-js-extender > selenium-webdriver >    │
│               │ adm-zip                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/681                         │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high          │ Arbitrary File Write                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ adm-zip                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.4.9                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ protractor                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ protractor > webdriver-js-extender > selenium-webdriver >    │
│               │ adm-zip                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/994                         │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate      │ Cross-Site Scripting                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ serialize-javascript                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.1.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular-devkit/build-angular                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular-devkit/build-angular > copy-webpack-plugin >        │
│               │ serialize-javascript                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1426                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate      │ Cross-Site Scripting                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ serialize-javascript                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.1.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular-devkit/build-angular                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular-devkit/build-angular > terser-webpack-plugin >      │
│               │ serialize-javascript                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1426                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high          │ Arbitrary Code Execution                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.5.2                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ karma-coverage-istanbul-reporter                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ karma-coverage-istanbul-reporter > istanbul-api >            │
│               │ istanbul-reports > handlebars                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1316                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high          │ Arbitrary Code Execution                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.5.3                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ karma-coverage-istanbul-reporter                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ karma-coverage-istanbul-reporter > istanbul-api >            │
│               │ istanbul-reports > handlebars                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1324                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ high          │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ handlebars                                                   │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.5.3                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ karma-coverage-istanbul-reporter                             │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ karma-coverage-istanbul-reporter > istanbul-api >            │
│               │ istanbul-reports > handlebars                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1325                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ moderate      │ Cross-Site Scripting                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ serialize-javascript                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.1.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ @angular-devkit/build-angular                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ @angular-devkit/build-angular > webpack >                    │
│               │ terser-webpack-plugin > serialize-javascript                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://www.npmjs.com/advisories/1426                        │
└───────────────┴──────────────────────────────────────────────────────────────┘
saksham93 commented 4 years ago

Raised a PR for the same.

radu-matei commented 4 years ago

Fixed by #282 and #283.