概要
opensheetmusicdisplay および osmd-audio-player の依存パッケージに脆弱性のあるバージョンが含まれている。
yarn audit で 35 件の脆弱性が検出されている（High: 26, Moderate: 9）。
脆弱なパッケージ
tar (High)
- パス:
opensheetmusicdisplay > gl > node-gyp > tar, opensheetmusicdisplay > gl > node-gyp > make-fetch-happen > cacache > tar
- 脆弱性: Arbitrary File Creation/Overwrite via Hardlink Path Traversal, Symlink Poisoning via Insufficient Path Sanitization
- 修正バージョン:
>=7.5.7
jszip (Moderate)
- パス:
opensheetmusicdisplay > jszip, osmd-audio-player > opensheetmusicdisplay > jszip
- 脆弱性: Path Traversal via
loadAsync
- 修正バージョン:
>=3.8.0
対応方針
本リポジトリ側では直接修正できない（上流パッケージの transitive dependency）。
時間があるときに以下を検討する:
opensheetmusicdisplay 本家をフォークして依存パッケージを更新- 更新済みパッケージとしてビルド・公開
- 本リポジトリの依存を更新済みフォーク版に差し替え
備考
tar の脆弱性は gl (OpenGL binding) 経由の node-gyp 由来で、ブラウザ向けビルドではランタイムリスクは低いjszip はブラウザでも使われるためパストラバーサルのリスクがある
概要
opensheetmusicdisplayおよびosmd-audio-playerの依存パッケージに脆弱性のあるバージョンが含まれている。yarn auditで 35 件の脆弱性が検出されている（High: 26, Moderate: 9）。脆弱なパッケージ
tar (High)
opensheetmusicdisplay > gl > node-gyp > tar,opensheetmusicdisplay > gl > node-gyp > make-fetch-happen > cacache > tar>=7.5.7jszip (Moderate)
opensheetmusicdisplay > jszip,osmd-audio-player > opensheetmusicdisplay > jsziploadAsync>=3.8.0対応方針
本リポジトリ側では直接修正できない（上流パッケージの transitive dependency）。
時間があるときに以下を検討する:
opensheetmusicdisplay本家をフォークして依存パッケージを更新備考
tarの脆弱性はgl(OpenGL binding) 経由のnode-gyp由来で、ブラウザ向けビルドではランタイムリスクは低いjszipはブラウザでも使われるためパストラバーサルのリスクがある