Decide how to clear 28 npm Dependabot alerts that need a direct dependency bump or an override

Geschlossen
  • Stimmt etwas nicht?
#1,574 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Ein zugehöriger Pull Request wurde bereits gemerged.

  • #1584 von @nedtwigg — gemerged

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
35/100
Issue-Typ
Feature
Klarheit
Größtenteils klar
Aktivitätsstatus
Aktiv
Tech-Stack
github, node.js, typescript
Bereich
devops, security

Rechercherichtung

Start with pnpm-lock.yaml and the dependency declarations for hosted and dor-tools-builtin; the issue names those packages and their version constraints but no source files or tests. Review the linked Dependabot alerts and the listed upstream options, then determine which alerts need a direct upgrade, an override, or dismissal. Done means all 28 alerts have a maintainer decision and the applicable alerts are cleared.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

security

28 of the 58 Dependabot alerts opened on pnpm-lock.yaml on 2026-11-03 can't be cleared by a lockfile-only bump. Each needs a maintainer decision: a direct-dependency upgrade, a pnpm.overrides entry, or a dismissal as not reachable. #1573 clears the other 30. Numbers below are Dependabot alert numbers.

Package Pinned by Fix Alerts
undici 7.29.0 [email protected] (direct devDependency of hosted), exact pin 7.30.1 24–33, 49, 51, 53, 57, 59, 61, 63, 65
sharp 0.35.2 the same miniflare, exact pin 0.35.5 22, 41
dompurify 3.4.15 [email protected] (latest release), exact pin 3.4.17 38, 40, 42, 43, 44 (44 critical)
katex 0.16.47 mermaid 11.17.2 (^0.16.47) 0.18.2 39
glob 10.5.0 / 13.0.6 dependents take ^10, ^13.0.1, ~13.0.0 14.0.2 67
minimatch 5.1.9 / 9.0.9 / 10.2.x dependents take ^5.1.0, ^9.0.4, ^10.2.2, ^10.2.6 11.0.1 68

Options seen so far:

  • miniflare is a dev/test dependency of Hosted, so undici and sharp there don't ship to users. Its latest tag (4.20260730.0) pins undici 7.28.0, which is also vulnerable, so moving channels doesn't help.
  • katex clears with mermaid 12.3.0 (^0.18.0), a major bump of a direct dor-tools-builtin dependency published 2026-11-03. It becomes adoptable under the 24-hour cooldown on 2026-11-04.
  • dompurify in monaco, glob, and minimatch have no in-range fix. Clearing them means an override past the dependent's declared range, or waiting for upstream.
Vorherrschende Sprache
TypeScript
Sterne
5
Forks
1
Ø Merge
10 Std. 54 Min.
Gemergte PRs (30 T.)
438

Entwicklungsumgebung

Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus diffplug/dormouse

Alle Issues in diffplug/dormouse

Ähnliche Issues

Weitere Issues zu TypeScript

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.