Triage the braces stack-exhaustion advisory and set the dismissal bar
Maintainer antworten meist innerhalb von 2 Tagen
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 2/5
- Geschätzter Aufwand
- 1-3 Stunden
- Anfängerfreundlichkeit
- 78/100
- Issue-Typ
- Dokumentation
- Klarheit
- Klar beschrieben
- Aktivitätsstatus
- Aktiv
- Tech-Stack
- typescript
- Bereich
- documentation, security
Rechercherichtung
Beginne mit einer Überprüfung der Dependabot-Warnungen für [email protected], des in #337 erfassten Problems mit der doppelten Lockfile und der aktuellen Richtlinie in TRIAGE.md. Verifiziere, dass Repository-Globs ausschließlich von Maintainern kontrollierte Pfade erhalten, und dokumentiere dann in TRIAGE.md die Entscheidung zur Warnung und die Bedingung für die erneute Öffnung sowie die Personen, die Warnungen verwerfen dürfen, und die zulässigen Reason-Codes. Fertig bedeutet, dass die Warnungen zur doppelten Lockfile geschlossen sind, für Warnung 259 eine Verwerfung oder eine Abhilfemaßnahme dokumentiert wurde und die Anforderungen für Verwerfungen dokumentiert sind.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Problem statement
Three high-severity Dependabot alerts are open, and none of them has a fix available.
| Alert | Package | Advisory | Manifest | Vulnerable range | First patched |
|---|---|---|---|---|---|
| 259 | braces | CVE-2026-93687 / GHSA-vfj7-8cjw-p6xm | website/package-lock.json | <= 3.0.3 |
none |
| 260 | braces | CVE-2026-93687 / GHSA-vfj7-8cjw-p6xm | website/yarn.lock | <= 3.0.3 |
none |
| 261 | node-forge | CVE-2026-85393 / GHSA-86w9-cpqp-85rv | website/yarn.lock | <= 1.4.0 |
none |
This is one real finding and two duplicates. Alerts 260 and 261 point at website/yarn.lock, a lockfile CI never installs from, and both disappear once the duplicate lockfile is removed. That work is tracked in #337; until it lands, the Security tab shows 3 where the codebase has 1.
The remaining finding is [email protected], pulled in by @docusaurus/core through @docusaurus/utils → [email protected] and [email protected]. It is a stack-exhaustion denial of service triggered by a deeply nested brace pattern. In this repo the patterns come from Docusaurus's own file walk over maintainer-controlled paths, not from contributor or visitor input, and it runs at build time.
With no patched version published, the only options are to dismiss with a recorded reason or to leave the tab permanently red.
Proposed solution
- Land the lockfile consolidation first, which closes 260 and 261.
- Dismiss 259 as tolerable risk, with a comment that records why (build-time glob over maintainer-controlled paths) and what reopens it (a patched braces release). Verify first that nothing in the repo feeds user or contributor input into a glob; if something does, this reasoning is wrong and the finding needs a real mitigation.
- Add a short "Security alerts and dismissal" section to
TRIAGE.md: who may dismiss, which reason codes are acceptable, and that a dismissal requires a comment naming the condition that reopens it.
Scope and impact
No code change beyond documentation. The risk to avoid is a silent dismissal, which is indistinguishable from silencing an alert; the comment requirement is the point of the exercise.
Acceptance criteria:
- Alerts 260 and 261 are closed by the lockfile work
- Alert 259 is either dismissed with a recorded reason or has a documented mitigation
-
TRIAGE.mdstates the dismissal bar
- Vorherrschende Sprache
- TypeScript
- Sterne
- 13
- Forks
- 22
- Ø Merge
- 2 T. 18 Std.
- Gemergte PRs (30 T.)
- 17
Entwicklungsumgebung
- Kein Dockerfile und keine Docker-Compose-Datei
- Hat eine Pull-Request-Vorlage
- Beitragsleitfaden lesen
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus IntersectMBO/developer-experience
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 90/100
IntersectMBO/developer-experience#363 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 88/100
IntersectMBO/developer-experience#362 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 90/100
IntersectMBO/developer-experience#360 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 92/100
IntersectMBO/developer-experience#359 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
documentation
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 88/100
IntersectMBO/developer-experience#358 ·
Maintainer antworten meist innerhalb von 2 Tagen
Alle Issues in IntersectMBO/developer-experience
Ähnliche Issues
-
enhancement
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
equinor/prisma-decision-web#919 ·
Maintainer antworten meist innerhalb von 1 Tag
-
[DC] OneLogin sync imports a partial user list when an API request failsEvtl. vergeben @RaphaelFakhri hat das heute übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 84/100
bitwarden/directory-connector#1276 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 62/100
home-assistant/installer#324 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Mondriaan
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 65/100
knaw-huc/textannoviz#733 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
Maintainer antworten meist innerhalb von 1 Tag