Angular 2 - CWE發現 - jQuery和Mootools

Question

最近，我的公司在我的angular 2.0.0項目上做了一個源代碼分析（使用IBM AppScan），並且標記了一些漏洞。我已在下面列出它們。

漏洞

CWE-79：輸入的不當和過程中，網頁生成（跨站腳本）節點的

• MooTools的不安全的操縱
• JQuery的子節點
的不安全操縱

CWE-327：使用破碎或危險的加密算法

• 不安全的隨機數

CWE-311：敏感數據

• PostMessage的漏判加密的任何靶標產地
• 不安全的HTTP通信

大多數漏洞來自2.0.0的角色庫我沒有什麼可以改變以消除漏洞。

我明白從角2不使用jQuery甚至MooTools。有沒有官方消息來源，以便我可以將結果宣佈爲誤報？

Answer 1

正如通過電子郵件討論的，這些在IBM AppScan中似乎都是誤報。 Angular 2+完全不使用MooTools或JQuery，不包含任何加密技術，並且（從閱讀源報告），不安全的HTTP錯誤也是誤報。 AFAICT這些可能是由優化/縮小的源代碼運行安全掃描器造成的，後者將其丟棄。