Mise à jour de la librairie simpl-schema
La version actuelle de laboite utilise une version de la librairie npm simpl-schema qui comporte une dépendance vulnérable :
# npm audit report
browserify-sign 2.6.0 - 4.2.1
Severity: high
browserify-sign upper bound check issue in `dsaVerify` leads to a signature forgery attack - https://github.com/advisories/GHSA-x9w5-v3q2-3rhw
fix available via `npm audit fix`
node_modules/meteor-node-stubs/node_modules/browserify-sign
lodash.template *
Severity: high
Command Injection in lodash - https://github.com/advisories/GHSA-35jh-r3h4-6jhm
fix available via `npm audit fix --force`
Will install simpl-schema@3.4.6, which is a breaking change
node_modules/lodash.template
message-box >=0.1.0
Depends on vulnerable versions of lodash.template
node_modules/message-box
simpl-schema 0.3.2 - 1.12.3 || 1.13.1
Depends on vulnerable versions of message-box
node_modules/simpl-schema
Les versions non vulnérables contiennent des 'breaking changes' par rapport à la version actuelle, il faudra donc faire des adaptations dans le code de laboite.
En particulier:
- simpl-schema ne livre plus d'expressions régulières, il faut donc récupérer les anciennes et les incorporer au code de l'application).
- la fonction setDefaultMessages n'existe plus, il faut donc trouver une autre façon de modifier les messages d'erreur (voir https://github.com/longshotlabs/simpl-schema?tab=readme-ov-file#customizing-validation-messages)
- des erreurs apparaissent dans les logs :
Unsupported "tracker" option passed to SimpleSchema constructor
Travail à effectuer également sur les applications suivantes :
- agenda
- mezig
- sondage
- frontal-nextcloud
- laboite-api
- meteor-visio-contest
- eoleget
Edited by Bruno Boiget