jappel/scoreboard-js
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions

Abhaengigkeiten aktualisiert, npm audit meldet keine Lücken mehr

Browse source 
Der Stand war grossteils Express-Generator-Boilerplate von 2018 und brachte 19
gemeldete Schwachstellen mit, 4 davon kritisch. Jetzt: 0.

Sicherheitsrelevant:
- express 4.16.4 -> 4.22.2 behebt DoS in body-parser, die cookie-Lücke,
  path-to-regexp, qs sowie Template-Injection/XSS in send und serve-static
- hbs 4.0.6 -> 4.2.1 zieht handlebars nach; die alte Fassung hatte vier
  kritische Meldungen, darunter Remote Code Execution beim Kompilieren von
  Templates
- socket.io 4.7.5 -> 4.8.3 samt Sub-Abhaengigkeiten behebt die unbegrenzte Zahl
  binaerer Attachments und die Memory-Exhaustion in socket.io-parser sowie
  mehrere DoS-Pfade in ws — beides genau der Pfad, der im Betrieb offen im WLAN
  haengt
- cookie-parser, morgan, debug und http-errors auf aktuelle Fassungen

Entfernt: express-ws und ws als direkte Abhaengigkeiten. Beide wurden nirgends
importiert — die WebSocket-Verbindung laeuft ueber socket.io, das sein eigenes
ws mitbringt.

Express bleibt bewusst auf 4.x. Der Sprung auf 5 ist ein Major mit Aenderungen
an Router und Fehlerbehandlung und bringt hier keinen Sicherheitsgewinn.

Verifiziert auf Node 24.19: alle drei Monitoransichten, Adminpanel, 404-Seite
und der komplette Socket.IO-Durchlauf (score, timerDurationLeft, timerEnded,
scoreSideswitch, refresh, Reconnect) unveraendert in Ordnung, keine
Deprecation-Warnungen im Log.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Julian Appel 2026-08-19 22:06:39 +02:00
parent 2a1e0904e8
commit dc999d3c2c
2 changed files with 738 additions and 432 deletions
Download patch file Download diff file Expand all files Collapse all files

1154
scoreboard/package-lock.json generated
View file

File diff suppressed because it is too large Load diff