npm 库 event-source-polyfill 在加载时弹出请愿书

This topic created in 1676 days ago, the information mentioned may be changed or developed.

event-source-polyfill 是一个在 npm 每周约 50 万次下载的库，依赖此库的知名软件包括 Gatsby 等。这个库的 1.0.26 版本（亦即目前的最新版本）添加了一段代码，会在用户处于特定时区时弹窗显示一段文字，并打开一个联署页面。

请 Gatsby 用户注意：Gatsby 的最新版本可能正在依赖 event-source-polyfill 1.0.26 (^1.0.25) 。

src: https://security.snyk.io/vuln/SNYK-JS-EVENTSOURCEPOLYFILL-2429580
CVSS (Snyk): 5.3

来源： https://t.me/outvivid/3526

5 replies • 2022-04-14 10:43:28 +08:00

ChaosesIb

Apr 9, 2022

受影响时区：
```js
[
"Asia/Anadyr", "Asia/Barnaul", "Asia/Chita", "Asia/Irkutsk", "Asia/Kamchatka",
"Asia/Khandyga", "Asia/Krasnoyarsk", "Asia/Magadan", "Asia/Novokuznetsk",
"Asia/Novosibirsk", "Asia/Omsk", "Asia/Sakhalin", "Asia/Srednekolymsk", "Asia/Tomsk",
"Asia/Ust-Nera", "Asia/Vladivostok", "Asia/Yakutsk", "Asia/Yekaterinburg",
"Europe/Astrakhan", "Europe/Kaliningrad", "Europe/Kirov", "Europe/Moscow",
"Europe/Samara", "Europe/Saratov", "Europe/Simferopol", "Europe/Ulyanovsk",
"Europe/Volgograd", "W-SU"
].indexOf(new Intl.DateTimeFormat().resolvedOptions().timeZone)
```

gadfly3173

Apr 9, 2022 via Android

根据 issue 你还会发现在一些旧版本浏览器上会因为时区判断的逻辑导致异常

ljspython

Apr 9, 2022

感觉有病

reiji

Apr 12, 2022

npm 的社区信任在不断地被破坏

cslive

Apr 14, 2022

前端娱乐圈