Create-react-app: Vulnerability in sockjs-client

[krozett]

Current version used is 1.1.4, which reports the following vulnerabilities (well it's just one but it shows up in several places in the dep tree):

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Open Redirect                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ url-parse                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-scripts                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-scripts > react-dev-utils > sockjs-client >            │
│               │ eventsource > original > url-parse                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/678                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Open Redirect                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ url-parse                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-scripts                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-scripts > react-dev-utils > sockjs-client > url-parse  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/678                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Open Redirect                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ url-parse                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-scripts                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-scripts > webpack-dev-server > sockjs-client >         │
│               │ eventsource > original > url-parse                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/678                       │
└───────────────┴──────────────────────────────────────────────────────────────┘


┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Open Redirect                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ url-parse                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ react-scripts                                                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ react-scripts > webpack-dev-server > sockjs-client >         │
│               │ url-parse                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/678                       │
└───────────────┴──────────────────────────────────────────────────────────────┘

Bumping to 1.1.5 should fix these issues. (https://github.com/sockjs/sockjs-client/issues/447)

[OliverForral]

GitHub also gives a vulnerability alert about this and links to this page https://nvd.nist.gov/vuln/detail/CVE-2018-3774

[gaearon]

Should be fixed in latest react-scripts.

[FlorianBurgevin]

Hello @gaearon,
It seems react-dev-util is not updated with the correct version of sockjs. Currently, it uses the v1.1.5 of sokjs-client.

Problem is fixed in the version 1.4.3 of url-parse.
sockjs-client updated the url-parse version in latests versions (>1.1.5)

Is it possible to upgrade ?

Thanks