Nwb: Releasing a new version to update the vulnerable dependency?

[lukyth]

This issue is a:

• Bug report

The current version of nwb (0.23.0) uses "webpack-dev-server": "3.1.5", which has a vulnability issue. source: https://github.com/insin/nwb/blob/v0.23.0/package.json#L111.
But it has been upgraded in master ("webpack-dev-server": "3.1.9") source: https://github.com/insin/nwb/blob/master/package.json#L111
Running npm audit in a project that use [email protected] would result in

Can a patch for this got released?

[bjankord]

I'm seeing the following vulnerabilities listed developing a new react component with nwb.

[mcin-armintaheri-archive]

Also getting these alerts:

vulnerabilities.txt

[insin]

I'll be releasing a final Babel 6 version of nwb soon after I have a look through issues from the last few months, just upgraded all the non-Babel dependencies in master 👍

[svanzoest]

Looking forward to this. npm audit is still angry at me :)

[svencowart]

Yes, please! There are 10 security vulnerabilities for nwb's web-module on 0.23.x:

➜  npm audit    

                       === npm audit security report ===                        

┌──────────────────────────────────────────────────────────────────────────────┐
│                                Manual Review                                 │
│            Some vulnerabilities require your attention to resolve            │
│                                                                              │
│         Visit https://go.npm.me/audit-guide for additional guidance          │
└──────────────────────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > request > hawk > boom > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > request > hawk > cryptiles > │
│               │ boom > hoek                                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > request > hawk > hoek        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ hoek                                                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > request > hawk > sntp > hoek │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/566                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ High          │ Missing Origin Validation                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ webpack-dev-server                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.11.4 <3.0.0 || >=3.1.11                                  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > webpack-dev-server                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/725                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ braces                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.3.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > babel-cli > chokidar > anymatch > micromatch > braces  │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/786                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ braces                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.3.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > babel-plugin-istanbul > test-exclude > micromatch >    │
│               │ braces                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/786                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ braces                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=2.3.1                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > expand-braces > braces                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/786                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Moderate      │ Memory Exposure                                              │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ tunnel-agent                                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=0.6.0                                                      │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > request > tunnel-agent       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/598                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ timespan                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ No patch available                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ nwb [dev]                                                    │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ nwb > karma > log4js > loggly > timespan                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/533                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
found 10 vulnerabilities (4 low, 5 moderate, 1 high) in 20054 scanned packages
  10 vulnerabilities require manual review. See the full report for details.

[insin]

From a new web-module in 0.24.x:

$ npm audit

                       === npm audit security report ===

found 0 vulnerabilities
 in 22059 scanned packages