拒绝服务 - http 代理 - React

Question

我很确定这个错误今天才出现，以前从未发生过。当我创建一个新的 React 应用程序时，该过程发现了 1 个高漏洞：

高： 拒绝服务

包： http-proxy

已打 补丁：无可用补丁

依赖： react-scripts

路径： react-scripts > webpack-dev-server > http-proxy-middleware > http-proxy

更多信息： https : //npmjs.com/advisories/1486

（我的“ react-scripts”版本是3.4.1）。当然，“ npm audit fix”不起作用。

我该怎么办？有什么需要关心的，或者我可以正常工作吗？

Answer 1

所有版本的 http-proxy 都容易受到拒绝服务攻击。具有长正文的 HTTP 请求会触发 ERR_HTTP_HEADERS_SENT 未处理的异常，从而导致代理服务器崩溃。仅当代理服务器使用 proxyReq.setHeader 函数在代理请求中设置标头时，这才可能实现。

对于在http://localhost:3000上运行的代理服务器，以下curl请求会触发未处理的异常：curl -XPOST http://localhost:3000 -d "$(python -c 'print("x"*1025) ')"

补救措施

目前没有可用的修复方法。考虑使用替代包，直到修复可用。

结论

但暂时可以正常工作。到目前为止，它不应导致任何类型的工作异常。