create-react-app CVE-2021-27290在react-scripts中由于使用了旧版本的webpack,

u2nhd7ah 于 22天前发布在 React

关注(0)|答案(8)|浏览(21)

描述漏洞

CVE-2021-27290
ssri 5.2.2-8.0.0,在8.0.1中修复，使用正则表达式处理SRIs,易受拒绝服务攻击。恶意SRI可能需要非常长的时间来处理，导致拒绝服务。此问题仅影响使用严格选项的消费者。
查看 https://github.com/facebook/create-react-app/blob/master/packages/react-scripts/package.json 时，它拉取了 webpack @ 4.44.2,最终得到以下树形结构：

┬ react-scripts@4.0.3
  ├─┬ terser-webpack-plugin@4.2.3
  │ └─┬ cacache@15.0.5
  │   └── ssri@8.0.1 
  └─┬ webpack@4.44.2
    └─┬ terser-webpack-plugin@1.4.5
      └─┬ cacache@12.0.4
        └── ssri@6.0.1

转到最新的 webpack(目前为 5.26.2)将解决此问题。

create-react-app

来源：https://github.com/facebook/create-react-app/issues/10699

8条答案

按热度按时间

7gyucuyw1#

问题已报告给Webpack,位于webpack/webpack#12926。

赞(0）回复(0）举报 22天前

x6yk4ghg2#

将react-scripts迁移到webpack 5有多困难？

赞(0）回复(0）举报 22天前

6yjfywim3#

react-script to webpack 5 sounds like the move

赞(0）回复(0）举报 22天前

xhv8bpkk4#

Webpack 5是#9994。看起来像“非常困难”，但正在进行中。

赞(0）回复(0）举报 22天前

g2ieeal75#

将react-script迁移到webpack 5听起来像是个大动作。Webpack 5是#9994,看起来“非常困难”，但正在进行中。

迁移到webpack 5将是一个类似于CRA 5的重大版本更新，这将导致破坏性更改。我认为CRA肯定需要迁移，但可能需要更多时间。

所以我认为，如果有人有时间创建一个PR,我们仍然应该在CRA 4中升级这些依赖项。

赞(0）回复(0）举报 22天前

wqsoz72f6#

根据 SNYK-JS-SSRI-1246392 ,这个问题可以通过 ssri 的6.0.2和8.0.1版本的修复程序进行解决。运行 npm upgrade 或者重建 package-lock.json 以自动获取最新的修复程序版本。虽然我也很想看到一个与webpack 5兼容的 react-scripts ,但是在没有 react-scripts 发布的情况下也可以修复这个特定的漏洞。

赞(0）回复(0）举报 22天前

olqngx597#

关于这个，grype仍在检测这个，即使在解析ssri到^8.0.1时也是如此吗？

赞(0）回复(0）举报 22天前

vkc1a9a28#

这个问题已经被自动标记为过时，因为它没有任何最近的活动。如果没有发生任何进一步的活动，它将在5天后被关闭。

赞(0）回复(0）举报 22天前