nsp check --output summary vulnerabilities found

[davidmpaz]

Issue details

When checking for node security platform command-line tool; 4 vulnerabilities are found breaking build of branch in project: davidmpaz/webpack-encore, branch: browser-sync. Error report is:

> nsp check --output summary

(+) 4 vulnerabilities found
 Name      Installed   Patched              Path                                                                                                                                         More Info                             
 express   2.5.11      >=3.11 <4 || >=4.5   @symfony/webpack-encore@0.13.0 > browser-sync@2.18.13 > browser-sync-ui@0.6.3 > weinre@2.0.0-pre-I0Z7U9OV > express@2.5.11                   https://nodesecurity.io/advisories/8  
 qs        0.4.2       >= 1.x               @symfony/webpack-encore@0.13.0 > browser-sync@2.18.13 > browser-sync-ui@0.6.3 > weinre@2.0.0-pre-I0Z7U9OV > express@2.5.11 > qs@0.4.2        https://nodesecurity.io/advisories/28 
 qs        0.4.2       >= 1.x               @symfony/webpack-encore@0.13.0 > browser-sync@2.18.13 > browser-sync-ui@0.6.3 > weinre@2.0.0-pre-I0Z7U9OV > express@2.5.11 > qs@0.4.2        https://nodesecurity.io/advisories/29 
 connect   1.9.2       >=2.8.1              @symfony/webpack-encore@0.13.0 > browser-sync@2.18.13 > browser-sync-ui@0.6.3 > weinre@2.0.0-pre-I0Z7U9OV > express@2.5.11 > connect@1.9.2   https://nodesecurity.io/advisories/3 

Please note that this is related to packages version of dependencies used by BrowserSync, is not an error in API or CLI tooling. I found another issue in this repo stating similar problem: #1300

This was found when working on symfony/webpack-encore#2 which is a wrapper library around webpack aiming to ease its (webpack) configuration.

Steps to reproduce/test case

1. git clone git@github.com:davidmpaz/webpack-encore.git
2. cd webpack-encore && git checkout browser-sync
3. npm run nsp

Please specify which version of Browsersync, node and npm you're running

• Browsersync [2.18.13]
• Node [v6.0.0]
• Npm [5.3.0]

Affected platforms

• linux
• windows
• OS X
• freebsd
• solaris
• other (please specify which)

Browsersync use-case

• API
• Gulp
• Grunt
• CLI
• Webpack

If CLI, please paste the entire command below

no CLI command

for all other use-cases, (gulp, grunt etc), please show us exactly how you're using Browsersync

Please check symfony/webpack-encore#145

Thanks in advance for such a great project
David

[GromNaN]

Modules with security issues that where listed in this issue have been updated.

Running a new check show some new issues.

$ git clone https://github.com/BrowserSync/browser-sync.git && cd browser-sync
$ yarn add nsp
$ node node_modules/.bin/nsp check --output summary
(+) 8 vulnerabilities found
┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ mime                                                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 7.5 (High)                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 1.3.4                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ < 1.4.1 || > 2.0.0 < 2.0.3                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 1.4.1 < 2.0.0 || >= 2.0.3                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > serve-static@1.12.2 > send@0.15.2 >          │
│            │ mime@1.3.4                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/535                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ fresh                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 7.5 (High)                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 0.5.0                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ < 0.5.2                                                            │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 0.5.2                                                           │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > serve-static@1.12.2 > send@0.15.2 >          │
│            │ fresh@0.5.0                                                        │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/526                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Prototype pollution attack                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ hoek                                                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 4 (Medium)                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.16.3                                                             │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 4.2.0 || >= 5.0.0 < 5.0.3                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                        │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > chokidar@1.7.0 > fsevents@1.1.3 >            │
│            │ node-pre-gyp@0.6.39 > hawk@3.1.3 > hoek@2.16.3                     │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/566                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Prototype pollution attack                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ hoek                                                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 4 (Medium)                                                         │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.16.3                                                             │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 4.2.0 || >= 5.0.0 < 5.0.3                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ > 4.2.0 < 5.0.0 || >= 5.0.3                                        │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > localtunnel@1.8.3 > request@2.81.0 >         │
│            │ hawk@3.1.3 > hoek@2.16.3                                           │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/566                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ debug                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 3.7 (Low)                                                          │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.2.0                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                      │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > connect@3.5.0 > debug@2.2.0                  │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/534                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ debug                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 3.7 (Low)                                                          │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.2.0                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                      │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > serve-index@1.8.0 > debug@2.2.0              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/534                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ debug                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 3.7 (Low)                                                          │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.6.8                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                      │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > localtunnel@1.8.3 > debug@2.6.8              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/534                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

┌────────────┬────────────────────────────────────────────────────────────────────┐
│            │ Regular Expression Denial of Service                               │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Name       │ debug                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ CVSS       │ 3.7 (Low)                                                          │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Installed  │ 2.6.4                                                              │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Vulnerable │ <= 2.6.8 || >= 3.0.0 <= 3.0.1                                      │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Patched    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                       │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ Path       │ browser-sync@2.23.6 > serve-static@1.12.2 > send@0.15.2 >          │
│            │ debug@2.6.4                                                        │
├────────────┼────────────────────────────────────────────────────────────────────┤
│ More Info  │ https://nodesecurity.io/advisories/534                             │
└────────────┴────────────────────────────────────────────────────────────────────┘

[unional]

Latest list from npm audit:

┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ debug                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > connect > debug                               │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/534                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ debug                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > connect > finalhandler > debug                │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/534                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ debug                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > serve-index > debug                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/534                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Regular Expression Denial of Service                         │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ debug                                                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >= 2.6.9 < 3.0.0 || >= 3.1.0                                 │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > localtunnel > debug                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/534                       │
└───────────────┴──────────────────────────────────────────────────────────────┘
┌───────────────┬──────────────────────────────────────────────────────────────┐
│ Low           │ Prototype Pollution                                          │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Package       │ lodash                                                       │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Patched in    │ >=4.17.5                                                     │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Dependency of │ browser-sync [dev]                                           │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ Path          │ browser-sync > easy-extender > lodash                        │
├───────────────┼──────────────────────────────────────────────────────────────┤
│ More info     │ https://nodesecurity.io/advisories/577                       │
└───────────────┴──────────────────────────────────────────────────────────────┘

[XhmikosR]

@shakyShane: there are still 2 vulnerabilities:

  Low             Prototype Pollution

  Package         lodash

  Patched in      >=4.17.5

  Dependency of   browser-sync [dev]

  Path            browser-sync > easy-extender > lodash

  More info       https://nodesecurity.io/advisories/577


  Low             Regular Expression Denial of Service

  Package         debug

  Patched in      >= 2.6.9 < 3.0.0 || >= 3.1.0

  Dependency of   browser-sync [dev]

  Path            browser-sync > localtunnel > debug

  More info       https://nodesecurity.io/advisories/534

[shakyShane]

fixed in 2.26.4 :)