Güvenlik açıklı bağımlılık (ARCH3142)

Anahtar typescript.security.vulnerable-component · Önem error · Kategori security · CWE CWE-1104

Kurulu sürümü yayımlanmış bir güvenlik açığı aralığına düşen bağımlılık, doğrudan sömürülebilir bir zafiyeti uygulamaya taşır (OWASP A06: Güvenlik Açıklı ve Eski Bileşenler).

Eşleştirmeyi runner değil AppArch Api yapar: her ArchScan koşusunun zaten bildirdiği paket listesini kurulumun kendi güvenlik açığı kataloğuyla karşılaştırır. Ürün derlenmiş bir temel küme ile gelir, operatör bunu bir OSV dışa aktarımını içe alarak tazeler. Böylece veri collector imajı yeniden üretilmeden güncellenir ve müşterinin CI ortamı hiçbir CVE servisine erişmek zorunda kalmaz.

Hatalı

package.json

"dependencies": {
  "lodash": "4.17.20",
  "axios": "0.21.0"
}

Doğru

package.json

"dependencies": {
  "lodash": "4.17.21",
  "axios": "1.6.0"
}

Düzeltme

Paketi tavsiyenin işaret ettiği sürüme yükseltin. Düzeltme yoksa bağımlılığı kaldırın ya da güvenli bir alternatife sabitleyin. Güvenlik açığı kataloğunu operatör Yönetim → Güvenlik tavsiyeleri ekranından tazeler.