Уязвимость CVE-2024-4067 - Документация Инкоманд

Пакет NPM micromatch до версии 4.0.8 уязвим к отказу в обслуживании из-за регулярных выражений (ReDoS). Уязвимость возникает в micromatch.braces() в index.js, поскольку шаблон .* будет жадно сопоставлять что угодно. При передаче вредоносной полезной нагрузки сопоставление шаблона будет продолжать возвращаться к входным данным, пока не найдет закрывающую скобку. По мере увеличения размера входных данных время потребления также будет увеличиваться, пока это не приведет к зависанию или замедлению работы приложения. Было объединенное исправление, но дальнейшее тестирование показывает, что проблема сохраняется. Эту проблему следует смягчить, используя безопасный шаблон, который не начнет возвращаться к регулярному выражению из-за жадного сопоставления. Эта проблема была исправлена в версии 4.0.8.

В Incomand используется micromatch версий 2.3.11, 3.1.10, 4.0.8. Все они являются подзависимостью пакета liferay-npm-scripts@36.0.0. Эта зависимость используется только при сборке, в рантайме ее нет, как следствие, исправление не требуется.