Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в NPM-пакете pac-resolver, насчитывающем 3 млн загрузок в неделю, opennews (??), 02-Сен-21, (0) [смотреть все] По предварительным расчётам, за полгода уязвимость охватывает всё население Мидг, InuYasha (??), 22:52 , 02-Сен-21, (1) +4 Надоже, даже без работы с памятью Кто бы сомневался Толи ещё Rust ожидает , Аноним (2), 22:53 , 02-Сен-21, (2) +10 // Зато с eval ом , Ordu (ok), 00:26 , 03-Сен-21, (7) +3 Просто был бы дырявый софт на Rust Те же яйца только в профиль и большим количе, Аноним (34), 11:57 , 03-Сен-21, (34) +1 Эта проблема решается выкидыванием всех этих NPM и им подобных каргоф ДНК конеч, Аноним (2), 22:55 , 02-Сен-21, (3) // Я правильно тебя понял, ты предлагаешь писать код без библиотек вообще Или у те, Аноним (4), 23:03 , 02-Сен-21, (4) –1 // Сейчас библиотеки такие, что сложность написания кода без них гораздо ниже, чем , Аноним (5), 23:30 , 02-Сен-21, (5) +3 // Сразу видно, что ничего сложнее hello world в жизни не писал , Аноним (10), 01:12 , 03-Сен-21, (10) +7 Хм, hello, world без библиотеки ввода-вывода ну это только на Assembler-е И, Ag (ok), 07:50 , 03-Сен-21, (15) +2 В современных, многозадачных, операционных системах, Вам не дадут из защищенного, andy (??), 11:57 , 03-Сен-21, (35) И ты гарантируешь отсутсвие уязвимостей в этом своем коде без библиотек , Аноним (4), 08:02 , 03-Сен-21, (17) +3 Не в ту сторону воюетеПротив библиотек никто не выступалИ есть разница между уни, Аноним (49), 18:08 , 04-Сен-21, (49) Авторы изделий на JS и для JS, к сожалению, биологически повреждены и любой резу, And (??), 08:25 , 03-Сен-21, (21) –1 // В изначальном сообщении написано следующееПод подобные карги попадают так же в, Аноним (4), 10:32 , 03-Сен-21, (33) Жаль что тебя не изолировали, Аноним (19), 08:06 , 03-Сен-21, (19) Ага-ага Ты и сам не юзаешь сторонние библиотеки или только советуешь , Ненавижу SJW (?), 09:13 , 03-Сен-21, (26) // Там было хоть слово против библиотек , Аноним (49), 18:09 , 04-Сен-21, (50) Всегда такое было, и вот опять , бедный буратино (ok), 00:18 , 03-Сен-21, (6) +2 Вау В eval-языке нашли уязвимость - он может исполнить код, пришедший как дан, Dzen Python (ok), 00:36 , 03-Сен-21, (8) +2 // Кому-то показалось хорошей идеей автоматически выполнять код пришедший как данны, Аноньимъ (ok), 01:13 , 03-Сен-21, (11) +1 // Их сейчас с js на rust переучивают ускоренно, чтоб в ядро коммитили, Аноним (49), 18:11 , 04-Сен-21, (51) +1 Я правильно понимаю, что проблему устранили указанием в документации что API теп, Аноньимъ (ok), 01:12 , 03-Сен-21, (9) // обычная настройка wpad происходит Стандарт netscape 1996го года Платформенно н, пох. (?), 10:12 , 03-Сен-21, (32) +1 // Сжечь Там есть какое-то оправдание хотя бы для того чтобы вместо настроек прокси, Аноньимъ (ok), 18:03 , 03-Сен-21, (40) –1 // Ты тоже разработчик, что-ли Пойти и прочитать документацию - не Код возвращает , пох. (?), 19:12 , 03-Сен-21, (42) +1 А как это делает этот скрипт Просто списка с фильтром по регуляркам недостаточно, Аноньимъ (ok), 19:31 , 03-Сен-21, (44) В документации было и осталось предупреждение, что не через vm нельзя запускать , another_one (ok), 09:45 , 04-Сен-21, (48) Ура 3 миллиона уязвимостей по всему миру , Аноним (14), 05:11 , 03-Сен-21, (14) +1 Да не может такого быть , Какаянахренразница (ok), 07:54 , 03-Сен-21, (16) Красивая халтура Такое не публикуют, или код плохой Это тот признак, по котор, And (??), 08:04 , 03-Сен-21, (18) –1 Неужели Node js всё еще кто-то использует , Аноним (20), 08:25 , 03-Сен-21, (20) –3 // Технологии на базе Жабасрипта рулят , Аноним (-), 08:34 , 03-Сен-21, (22) –4 Да, ёжики , Аноним (5), 08:34 , 03-Сен-21, (23) Дурак Это я вас пользую , Node js (?), 10:00 , 03-Сен-21, (30) +1 Зачем 3 млн юзеров в неделю парсят PAC файлы , Аноним (24), 08:57 , 03-Сен-21, (24) // Это автоматические загрузки по дереву нпм-зависимостей Юзеры даже не в курсе , Аноним (25), 09:04 , 03-Сен-21, (25) +1 // Воистину по дереву , anonymous (??), 09:40 , 03-Сен-21, (29) +1 leftpad такой leftpad, 1 (??), 09:37 , 03-Сен-21, (28) –1 а кто их спрашивал-то , Node js (?), 10:02 , 03-Сен-21, (31) // Подробности интересны Какие конкретно либы и для чего , Аноньимъ (ok), 15:02 , 03-Сен-21, (39) Можно подумать в этом вашем Пэйтоунэ не так же , Аноним (34), 11:58 , 03-Сен-21, (36) // Слабенькая отмазка , Какаянахренразница (ok), 12:07 , 03-Сен-21, (37) +2 Это по определению программа из одной строки на Perl , то есть JavaScript Ровн, Алексей (??), 14:16 , 03-Сен-21, (38) –1   // Не понял, но осуждаю Браузер как и пользователь вообще не причемВыполняет nodejs, Аноним (49), 18:20 , 04-Сен-21, (52)   Нужен meta npm с рейтингом модулей За уязвимости рейтинг само собой снижать , Аноним (41), 18:21 , 03-Сен-21, (41) // повышать же ж Кто не сидел тот не паца ой, простите, окошком ошибся В ком не, пох. (?), 19:14 , 03-Сен-21, (43) кто сказал, что это уязвимость , Аноним (45), 19:49 , 03-Сен-21, (45) Любителей тянуть в рот всё свеженькое из непонятных источников опять поимели Вп, Онаним (?), 23:41 , 03-Сен-21, (47) +1 1,2,3,6,8,9,14,16,18,20,24,36,38,41,45,47

Сообщения

[Сортировка по времени | RSS]

38. "Уязвимость в NPM-пакете pac-resolver, насчитывающем 3 млн за..."	–1 +/–
Сообщение от Алексей (??), 03-Сен-21, 14:16
> PAC-файл содержит обычный JavaScript-код Это по определению "программа из одной строки на Perl", то есть JavaScript. Ровно с теми же последствиями. Только тут не нужно дурака перед клавиатурой, браузер скачает и запустит автоматически. Какая прелесть.
Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость в NPM-пакете pac-resolver, насчитывающем 3 млн за..."	+/–
	Сообщение от Аноним (49), 04-Сен-21, 18:20
	Не понял, но осуждаю? Браузер как и пользователь вообще не причем Выполняет nodejs, само Потому что взяли кусок браузерной технологии, где оно к месту и всё хорошо, и вкорячили на сервер, где оно дырка
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема