mahara-contributors team mailing list archive

[Robert Lyon <robertl@xxxxxxxxxxxxxxx>]

Hmm, I do not have npm 'minmatch' installed on my machine
And my version of 'lodash' is higher than 4.17.5, the problem according to https://nodesecurity.io/advisories/577 (mine is 4.17.11)

I suspect you are needing up update your npm packages

** Changed in: mahara
       Status: New => Invalid

-- 
You received this bug notification because you are a member of Mahara
Contributors, which is subscribed to Mahara.
Matching subscriptions: Subscription for all Mahara Contributors -- please ask on #mahara-dev or mahara.org forum before editing or unsubscribing it!
https://bugs.launchpad.net/bugs/1805507

Title:
  When checking out a patch user sees error message in terminal as
  follows:

Status in Mahara:
  Invalid

Bug description:
  BUG - When checking out a patch user sees error message in terminal as follows:
  ---- found 5 vulnerabilities (1 low, 4 high)
  -----run `npm audit fix` to fix them, or `npm audit` for details

  
                                                                                  
                         === npm audit security report ===                        
                                                                                  
  # Run  npm install gulp@4.0.0  to resolve 5 vulnerabilities
  SEMVER WARNING: Recommended action is a potentially breaking change
  ┌───────────────┬──────────────────────────────────────────────────────────────┐
  │ High          │ Regular Expression Denial of Service                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Package       │ minimatch                                                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Dependency of │ gulp                                                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Path          │ gulp > vinyl-fs > glob-stream > glob > minimatch             │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ More info     │ https://nodesecurity.io/advisories/118                       │
  └───────────────┴──────────────────────────────────────────────────────────────┘

  
  ┌───────────────┬──────────────────────────────────────────────────────────────┐
  │ High          │ Regular Expression Denial of Service                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Package       │ minimatch                                                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Dependency of │ gulp                                                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Path          │ gulp > vinyl-fs > glob-stream > minimatch                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ More info     │ https://nodesecurity.io/advisories/118                       │
  └───────────────┴──────────────────────────────────────────────────────────────┘

  
  ┌───────────────┬──────────────────────────────────────────────────────────────┐
  │ High          │ Regular Expression Denial of Service                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Package       │ minimatch                                                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Dependency of │ gulp                                                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Path          │ gulp > vinyl-fs > glob-watcher > gaze > globule > glob >     │
  │               │ minimatch                                                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ More info     │ https://nodesecurity.io/advisories/118                       │
  └───────────────┴──────────────────────────────────────────────────────────────┘

  
  ┌───────────────┬──────────────────────────────────────────────────────────────┐
  │ High          │ Regular Expression Denial of Service                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Package       │ minimatch                                                    │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Dependency of │ gulp                                                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Path          │ gulp > vinyl-fs > glob-watcher > gaze > globule > minimatch  │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ More info     │ https://nodesecurity.io/advisories/118                       │
  └───────────────┴──────────────────────────────────────────────────────────────┘

  
  ┌───────────────┬──────────────────────────────────────────────────────────────┐
  │ Low           │ Prototype Pollution                                          │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Package       │ lodash                                                       │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Dependency of │ gulp                                                         │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ Path          │ gulp > vinyl-fs > glob-watcher > gaze > globule > lodash     │
  ├───────────────┼──────────────────────────────────────────────────────────────┤
  │ More info     │ https://nodesecurity.io/advisories/577                       │
  └───────────────┴──────────────────────────────────────────────────────────────┘

  
  found 5 vulnerabilities (1 low, 4 high) in 2419 scanned packages
    5 vulnerabilities require semver-major dependency updates.

To manage notifications about this bug go to:
https://bugs.launchpad.net/mahara/+bug/1805507/+subscriptions