Beheben Sie Sicherheitslücken in Moment.js, ohne Ihren Datums-Code neu schreiben zu müssen

Ja, im Wartungsmodus. Moment.js ist ein At-Large-Projekt der OpenJS Foundation, das von Freiwilligen gepflegt wird. Dem Status-Update zum Moment.js-Projekt vom August 2026 zufolge rechnen die Betreuer mit weiteren Wartungsversionen der 2.x-Reihe, werden kritische Sicherheitsprobleme beheben und schließen eine wartungsorientierte Version Moment 3.0 nicht mehr kategorisch aus. Moment.js 2.31.0 wurde am 15. September 2026 veröffentlicht. Sicherheitskorrekturen werden in aktuellen Versionen bereitgestellt und nicht in den älteren Versionen, auf die viele Anwendungen festlegen.

Moment.js 2.0.0 und 2.10.6 sind von den Sicherheitslücken CVE-2016-4055 und CVE-2017-18214 betroffen, bei denen es sich um Denial-of-Service-Angriffe mittels regulärer Ausdrücke handelt, sowie von CVE-2022-24785, einem Path-Traversal-Problem beim Wechsel der Ländereinstellung. Beide sind zudem von einer weiteren ReDoS-Sicherheitswarnung betroffen, die Versionen unterhalb von 2.15.2 abdeckt, keine CVE-Kennung trägt und von Snyk als „npm:moment:20161019“ erfasst wird. Moment.js 2.24.0 ist von CVE-2022-24785 und von CVE-2022-31129 betroffen, einem weiteren ReDoS. Durch das Upgrade wurde die Locale-Path-Traversal-Sicherheitslücke nicht endgültig geschlossen. CVE-2026-17495, das am 15. September 2026 bekannt gegeben wurde, betrifft Moment.js 2.29.2 bis 2.30.1, da es die Locale-Name-Sicherheitsabfrage umgeht, die in diesen Versionen zur Behebung von CVE-2022-24785 eingeführt wurde. Teams, die im Jahr 2022 ein Upgrade durchgeführt haben, um CVE-2022-24785 zu beheben, sind nun von dieser unvollständigen Behebung betroffen, und die Abhilfe besteht in einem weiteren Upgrade auf Version 2.31.0.

Ersetzen Sie das anfällige Paket durch eine mit Sicherheitspatches versehene Version derselben Version. TuxCare Endless Lifecycle Support veröffentlicht gepflegte Moment.js-Pakete über die TuxCare-npm-Registry. Fügen Sie die Registry zur `.npmrc` hinzu, verweisen Sie in `package.json` manuell oder mit dem TuxCare Patcher auf das ELS-Paket, entfernen Sie `node_modules` und die Lockdatei, leeren Sie den npm-Cache und führen Sie anschließend `npm install` aus. Die Pakete sind direkte Ersatzversionen für die entsprechenden Upstream-Releases, sodass die Anwendung weiterhin dieselbe Moment.js-API aufruft.

Der „Endless Lifecycle Support“ von TuxCare umfasst Moment.js 2.0.0, 2.10.6 und 2.24.0 sowie Moment Timezone 0.4.1. Moment Timezone ist ein eigenständiges npm-Paket und wird separat aufgeführt. Die Abdeckung ist versionsspezifisch, sodass das installierte Paket mit der Versionsreihe übereinstimmt, die die Anwendung bereits erwartet. Bei Anwendungen, die auf eine andere Version festgelegt sind, können Sie sich bezüglich der Abdeckungsoptionen an TuxCare wenden.

Ja. Moment.js wird häufig über Datumsauswahlfelder, Diagrammbibliotheken und andere Komponenten eingebunden und nicht über einen direkten Import. TuxCare-ELS-Pakete werden aus der TuxCare-npm-Registry aufgelöst, und npm-Überschreibungen in der Datei „package.json“ leiten die abgedeckten Instanzen im Abhängigkeitsbaum auf das gepflegte Paket um. Der TuxCare Patcher kann die abgedeckten Versionen erkennen und diese Überschreibungen vornehmen. Dieselben Pakete werden in Docker-Builds und CI/CD-Pipelines installiert.

Zum Teil. Der „Endless Lifecycle Support“ von TuxCare wurde entwickelt, um die Anforderungen an die Behebung von Sicherheitslücken für Moment.js im Rahmen von Rahmenwerken wie SOC 2, PCI DSS, HIPAA, NIS2, DORA und dem EU-Gesetz zur Cyber-Resilienz zu erfüllen. Er sorgt jedoch nicht allein dafür, dass eine Anwendung konform ist. Was er bietet, ist ein namentlich genannter Anbieter, ein vertraglich festgelegtes SLA und einen dokumentierten Behebungsplan, den Prüfer überprüfen können.

Beides kann zutreffen, und entscheidend ist, inwieweit Moment.js in der Anwendung genutzt wird. Das Projektstatus-Update vom August 2026 räumt die Empfehlung aus dem Jahr 2020 gegen neue Projekte ein und berichtet, dass sich die wöchentlichen Downloads mehr als verdreifacht haben, sodass die Argumente für eine vollständige Entfernung von Moment.js schwächer sind als zuvor. Für eine ausgereifte Anwendung, in der seit Jahren Funktionen zum Parsen, Formatieren sowie zur Sprach- und Zeitzonenlogik auf Basis der Moment.js-API integriert sind, sorgt TuxCare ELS dafür, dass die abgedeckten Versionen gepatcht bleiben, während die Migration nach einem geplanten Zeitplan erfolgt oder die Anwendung bewusst weiterhin auf Moment.js basiert.