Atualizar dependências com vulnerabilidades

[pvdevs]

Vulnerabilidades de Alta e Média Severidade nas Dependências do Projeto

TL;DR - O que Atualizar

🔴 Severidade Alta

• [email protected] → Atualizar para 1.20.3 ou superior.
• [email protected] → Atualizar para a versão 5.3.4.

🟡 Severidade Média

• [email protected] → Atualizar para a versão 4.20.0 ou superior.
• [email protected] → Atualizar para versão superior à 3.1.10.
• [email protected] → Atualizar para uma versão superior à 0.27.2.

Descrição Geral

Identifiquei vulnerabilidades nas dependências do projeto, através da ferramenta de análise de dependências (Red Hat Dependency Analytics). Este issue visa categorizar as vulnerabilidades por severidade (alta e baixa) e propor ações para correção.

---

🔴 Severidade Alta

Essas vulnerabilidades devem ser tratadas com prioridade máxima, devido ao alto risco de exploit no ambiente de produção.

1. react-scripts

• Dependência: react-scripts
• Vulnerabilidades Transitivas:
  • [email protected]
    • CVE: CVE-2024-45590
    • Descrição: Vulnerabilidade de negação de serviço (DoS) no body-parser, que pode ser exploitada para causar falha no processamento de requests.
    • Ação Recomendada: Atualizar body-parser para a versão 1.20.3 ou superior.
  • [email protected]
    • CVE: CVE-2024-29180
    • Descrição: Vulnerabilidade no webpack-dev-middleware que pode permitir execução não autorizada de código durante o desenvolvimento.
    • Ação Recomendada: Atualizar webpack-dev-middleware para a versão mais recente.

---

🟡 Severidade Média

Essas vulnerabilidades têm um risco moderado de exploit e devem ser tratadas após a mitigação das vulnerabilidades de alta severidade.

1. react-scripts

• Dependência: react-scripts
• Vulnerabilidades Transitivas:
  • [email protected]
    • CVE: CVE-2024-29041
    • CVE: CVE-2024-43796
    • Descrição: Vulnerabilidades em express, relacionadas a falhas de segurança em rotas e manipulação de erros.
    • Ação Recomendada: Atualizar express para a versão mais recente (superior a 4.18.3).
  • [email protected]
    • CVE: CVE-2024-33883
    • Descrição: Falha de XSS (Cross-Site Scripting) em ejs, permitindo que um invasor injete scripts maliciosos na aplicação.
    • Ação Recomendada: Atualizar ejs para a versão mais recente.

2. axios

• Dependência: [email protected]
• Vulnerabilidade Direta:
  • CVE: CVE-2023-45857
    • Descrição: Vulnerabilidade de segurança no [email protected], que permite que ataques de manipulação de dados ocorram por meio de requisições malformadas.
    • Ação Recomendada: Atualizar axios para uma versão mais recente (acima de 0.27.2).