Dependensi dan CVE untuk Vue.js
high4 titik pemeriksaan
Sebagian besar insiden dimulai dari komponen yang sebenarnya sudah bisa dipatch. Mengetahui versi tepat adalah selisih antara perbaikan dan tebakan.
Yang harus ada di Vue.js
- Tidak ada kebocoran versi lewat header, meta tag, atau halaman error
- Framework dan plugin pada rilis yang masih didukung
- CVE yang diketahui untuk versi terdeteksi sudah ditinjau
- Lockfile di-commit dan audit dependensi berjalan di CI
Cara memperbaiki
- 1Otomatiskan pembaruan dependensi dan tinjau advisory setiap minggu
- 2Pin versi di produksi dan uji upgrade di staging lebih dulu
Konteks Vue.js
Progressive JavaScript framework for interactive interfaces.
v-html bypasses escaping. Devtools and source maps should be disabled in production builds.