Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

4.2.0 pins axios, @xmldom/xmldom and mocha (serialize-javascript) to versions with high-severity advisories

Offen Anfängerfreundlich
  • Stimmt etwas nicht?
#5,731 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
2/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
68/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Aktiv
Tech-Stack
javascript, nodejs
Bereich
security

Rechercherichtung

Überprüfe die Dependency-Deklarationen für axios, @xmldom/xmldom und mocha/serialize-javascript und führe dann npm audit in einem frischen Projekt aus, um die gemeldeten Advisories zu bestätigen. Verwende den verifizierten Playwright-Helper und seine neun E2E-Szenarien für Regressionstests; abgeschlossen ist die Aufgabe, wenn gepatchte Dependency-Versionen ohne Overrides verfügbar sind und die Szenarien weiterhin erfolgreich sind.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

[email protected] pins three dependencies to exact versions that have published high-severity advisories. Because the versions are exact, users cannot pick up the patched releases without overrides.

Dependency Pinned Patched Advisories (examples)
axios 1.16.1 1.20.0 GHSA-9fr6-4gfg-395g, GHSA-c29m-xwm3-cm6r, GHSA-mghh-pgcx-3jjj, GHSA-j8rh-479h-cp32 (and ~20 more fixed in 1.18–1.20)
@xmldom/xmldom 0.9.10 0.9.12 GHSA-6gmq-8vp8-gcm6, GHSA-g53g-w8rj-fmg7, GHSA-w2rr-34g9-rvrj, GHSA-c7q8-3ch8-vqpv
serialize-javascript (via [email protected]) 6.0.2 7.1.2 GHSA-5c6j-r48x-rmvq, GHSA-qj8w-gfj5-8c6v

npm audit on a fresh project with only [email protected] installed reports these as high.

Workaround we verified (Playwright helper, 9 E2E scenarios pass):

"overrides": {
  "axios": "^1.20.0",
  "@xmldom/xmldom": "^0.9.12",
  "serialize-javascript": "^7.1.2"
}

serialize-javascript 7's only breaking change is "requires Node.js 20+"; mocha 12 already depends on ^7.

Suggestion: bump axios and @xmldom/xmldom, and either move to mocha@12 or use caret ranges so patch releases flow through. Happy to send a PR if that helps.

Vorherrschende Sprache
JavaScript
Sterne
4.2k
Forks
755
Ø Merge
1 T. 8 Std.
Gemergte PRs (30 T.)
18

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus codeceptjs/CodeceptJS

Alle Issues in codeceptjs/CodeceptJS

Ähnliche Issues

Weitere Issues zu JavaScript

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.