Comparteix a través de

Advertencias de NuGet NU1901, NU1902, NU1903, NU1904

  • Article

advertencia NU1902: el paquete “NuGet.Protocol” 5.11.2 tiene una vulnerabilidad de gravedad moderada conocida: https://github.com/advisories/GHSA-g3q9-xf95-8hp5

El código de advertencia cambia en función del nivel de gravedad de vulnerabilidad conocido:

Código de advertencia Gravedad
NU1901  Bajo
NU1902 Moderada
NU1903 high
NU1904 crítica

Problema

Un paquete restaurado para el proyecto tiene una vulnerabilidad conocida.

Para más información, consulte la documentación sobre paquetes de auditoría.

Solución

Tenemos una entrada de blog con más información sobre nuestras acciones recomendadas cuando el proyecto usa un paquete con una vulnerabilidad conocida y herramientas que pueden ser de ayuda.

Es probable que la actualización a una versión más reciente del paquete resuelva la advertencia. Si el proyecto no hace referencia al paquete directamente (se trata de un paquete transitivo), dotnet nuget why se puede usar para comprender qué paquete provocó que esté incluido en el proyecto. Puede comprobar la dirección URL proporcionada por el aviso de vulnerabilidad para ver qué versiones del paquete se han corregido o comprobar los orígenes del paquete configurados para ver qué versiones del paquete están disponibles. La interfaz de usuario del administrador de paquetes de Visual Studio puede mostrar qué versiones de paquete se ven afectadas y cuáles no tienen vulnerabilidades conocidas.

Si estas advertencias provocan un error en la restauración porque usas TreatWarningsAsErrors, puedes agregar <WarningsNotAsErrors>NU1901;NU1902;NU1903;NU1904</WarningsNotAsErrors> para permitir que estos códigos permanezcan como advertencias.

Si no desea recibir una notificación de vulnerabilidades que sean menos graves que un nivel con el que se sienta cómodo, puede editar el archivo de proyecto y agregar una propiedad de MSBuild NuGetAuditLevel, con el valor establecido en low, moderate, high o critical. Por ejemplo, <NuGetAuditLevel>high</NuGetAuditLevel>.

Si desea suprimir una advertencia específica, agregue un elemento NuGetAuditSuppress de MSBuild. Por ejemplo, <NuGetAuditSuppress Include="https://github.com/advisories/GHSA-g3q9-xf95-8hp5" />. NuGetAuditSuppress está disponible en VS 17.11 y el SDK de .NET 8.0.400 para proyectos que usan PackageReference y en VS 17.12 para proyectos que usan packages.config.

Si no deseas que NuGet compruebe si hay paquetes con vulnerabilidades conocidas durante la restauración, agrega <NuGetAudit>false</NuGetAudit> dentro de un elemento <PropertyGroup> en el archivo de proyecto o un archivo Directory.Build.props. Si desea ejecutar la auditoría de NuGet en máquinas para desarrolladores, pero inhabilitarla en canalizaciones de CI, puede aprovechar las ventajas de las variables de entorno de importación de MSBuild y crear una variable de entorno NuGetAudit establecida como false en la definición de la canalización.