Corrija as vulnerabilidades do Moment.js sem precisar reescrever seu código de data

Sim, em modo de manutenção. O Moment.js é um projeto At-Large da OpenJS Foundation mantido por voluntários. A atualização do status do projeto Moment.js de agosto de 2026 indica que os mantenedores esperam novos lançamentos de manutenção da versão 2.x, irão resolver problemas críticos de segurança e não descartam mais categoricamente uma versão Moment 3.0 voltada para a manutenção. O Moment.js 2.31.0 foi lançado em 15 de setembro de 2026. As correções de segurança são aplicadas às versões atuais, e não às versões mais antigas que muitos aplicativos utilizam.

As versões 2.0.0 e 2.10.6 do Moment.js são afetadas pelas vulnerabilidades CVE-2016-4055 e CVE-2017-18214, ambas relacionadas a negação de serviço por expressões regulares, e pela vulnerabilidade CVE-2022-24785, uma vulnerabilidade de traversal de caminho na troca de localidade. Ambas também são afetadas por um outro aviso de ReDoS que abrange versões anteriores à 2.15.2, que não possui identificador CVE e é rastreado pelo Snyk como npm:moment:20161019. O Moment.js 2.24.0 é afetado pelo CVE-2022-24785 e pelo CVE-2022-31129, outro ReDoS. A atualização não corrigiu definitivamente a vulnerabilidade de traversal de caminho de localidade. O CVE-2026-17495, divulgado em 15 de setembro de 2026, afeta o Moment.js das versões 2.29.2 a 2.30.1, pois contorna a proteção de nome de localidade que essas versões introduziram para corrigir o CVE-2022-24785. As equipes que atualizaram em 2022 para corrigir o CVE-2022-24785 acabaram ficando na faixa de alcance dessa correção incompleta, e a solução é uma nova atualização para a versão 2.31.0.

Substitua o pacote vulnerável por uma versão da mesma versão que tenha recebido correções de segurança. O TuxCare Endless Lifecycle Support publica pacotes Moment.js mantidos por meio do registro npm da TuxCare. Adicione o registro ao arquivo .npmrc, aponte o arquivo package.json para o pacote ELS manualmente ou com o TuxCare Patcher, remova o diretório node_modules e o arquivo lockfile, limpe o cache do npm e, em seguida, execute o comando npm install. Os pacotes são substitutos diretos das versões originais às quais correspondem, de modo que o aplicativo continua chamando a mesma API do Moment.js.

O Suporte de Ciclo de Vida Ilimitado da TuxCare abrange o Moment.js 2.0.0, 2.10.6 e 2.24.0, além do Moment Timezone 0.4.1. O Moment Timezone é um pacote npm independente e é listado separadamente. A cobertura é específica para cada versão; portanto, o pacote instalado deve corresponder à linha de lançamento que o aplicativo já espera. Aplicativos fixados em uma versão diferente podem entrar em contato com a TuxCare para saber mais sobre as opções de cobertura.

Sim. O Moment.js geralmente é incorporado por meio de seletores de data, bibliotecas de gráficos e outros componentes, e não por meio de uma importação direta. Os pacotes do TuxCare ELS são obtidos a partir do registro npm da TuxCare, e as substituições do npm no arquivo package.json redirecionam as instâncias cobertas na árvore de dependências para o pacote mantido. O TuxCare Patcher é capaz de detectar as versões cobertas e aplicar essas substituições. Esses mesmos pacotes são instalados em compilações do Docker e em pipelines de CI/CD.

Em parte. O Suporte de Ciclo de Vida Ilimitado da TuxCare foi projetado para atender aos requisitos de correção de vulnerabilidades do Moment.js no âmbito de estruturas normativas como SOC 2, PCI DSS, HIPAA, NIS2, DORA e a Lei de Resiliência Cibernética da UE. Por si só, ele não torna um aplicativo em conformidade. O que ele oferece é um fornecedor identificado, um SLA contratual e um plano de correção documentado que os auditores podem analisar.

Ambos podem estar certos, e o fator decisivo é o grau de integração do Moment.js na aplicação. A atualização do status do projeto de agosto de 2026 revoga a recomendação de 2020 contra novos projetos e relata que os downloads semanais mais do que triplicaram; portanto, os argumentos a favor da remoção do Moment.js estão mais fracos do que antes. Para um aplicativo maduro, com anos de lógica de análise, formatação, localização e fuso horário construída sobre a API do Moment.js, o TuxCare ELS mantém as versões cobertas atualizadas enquanto a migração ocorre de acordo com um cronograma planejado, ou enquanto o aplicativo permanecer no Moment.js por opção.