獲取路徑解析 Prisma Cloud 的 node.js 的圖像漏洞錯誤

Question

在 docker 圖像掃描后期構建中獲取路徑解析的 node.js 圖像漏洞錯誤。

節點版本：12.16.1 圖片：alpine3:3.10.2

漏洞圖像掃描錯誤

固定狀態固定在：1.0.7

package 路徑解析的所有版本都容易通過 splitDeviceRe、splitTailRe 和 splitPathRe 正則表達式受到正則表達式拒絕服務 (ReDoS) 攻擊。 ReDoS 表現出多項式最壞情況時間復雜度。

我嘗試了以下命令來解決問題。

RUN npm install path-parse@1.0.7 \
    && yarn add path-parse \

and

RUN npm install --save path-parse \

但是在代碼更改后，這兩個命令都被嘗試過，docker 構建仍然掃描顯示相同的結果。

如果對此問題有任何指示，請告訴我。

參考： https://www.npmjs.com/package/path-parse

提前致謝。

Answer 1

我也面臨同樣的問題。 我使用的node版本是14.17.3 npm v6.14.13

Package-lock.json 具有正確的路徑解析版本 (1.0.7)

我嘗試在 package.json 文件的分辨率部分固定路徑解析。 看到了同樣的問題。