Track the deepmerge advisory that has no patched release
Los mantenedores suelen responder en 2 días
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 1/5
- Tiempo estimado
- Menos de una hora
- Aptitud para principiantes
- 45/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Activo
- Stack tecnológico
- github-actions, typescript
- Área
- devops
Línea de trabajo
Start by reading the dependency declarations and lockfile entries for deepmerge, @svgr/plugin-svgo, and the Docusaurus packages, then check whether a release newer than 4.3.1 is available. When one is available, update the dependency and run npm audit; done means the advisory is gone without downgrading Docusaurus. Until then, the issue says to leave the dependency unchanged.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
After the November pin pass (#392), npm audit has no high or moderate findings. The remaining low is one advisory, repeated through the SVGR chain:
deepmerge>= 4.2.0(GHSA-gcqx-w48m-w2h4)- Pulled in by
@svgr/plugin-svgo, then@svgr/webpack,@docusaurus/plugin-svgr, and@docusaurus/preset-classic - Newest 4.x release is 4.3.1, which is still inside the range
@svgr/plugin-svgorequires^4.3.1, so an override to an older 4.x is outside the version that package asks for
npm audit fix --force wants to downgrade @docusaurus/preset-classic to 3.6.3. Do not do that.
This is separate from #339, which is the braces advisory. #338 should keep failing only on high and critical, so this low must not turn the build red. It still needs a place to be revisited.
What to change
- Leave the dependency where it is.
- When a
deepmergerelease newer than 4.3.1 is published, bump it and confirmnpm auditno longer reportsGHSA-gcqx-w48m-w2h4. - Until then, do not allow-list it by downgrading Docusaurus.
Acceptance
- The issue stays open until a patched
deepmergeexists - No pull request downgrades Docusaurus to clear this one low
- Lenguaje dominante
- TypeScript
- Estrellas
- 13
- Forks
- 24
- Merge medio
- 3 d 1 h
- PR fusionados (30 d)
- 34
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de IntersectMBO/developer-experience
-
documentation enhancement Low Priority
Dificultad 1/5 Menos de una hora Aptitud para principiantes 72/100
IntersectMBO/developer-experience#397 ·
Los mantenedores suelen responder en 2 días
-
documentation
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
IntersectMBO/developer-experience#376 ·
Los mantenedores suelen responder en 2 días
-
documentation pinned
Dificultad 2/5 1-3 horas Aptitud para principiantes 90/100
IntersectMBO/developer-experience#363 ·
Los mantenedores suelen responder en 2 días
-
documentation pinned
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
IntersectMBO/developer-experience#362 ·
Los mantenedores suelen responder en 2 días
-
documentation pinned
Dificultad 2/5 1-3 horas Aptitud para principiantes 90/100
IntersectMBO/developer-experience#360 ·
Los mantenedores suelen responder en 2 días
Todos los issues de IntersectMBO/developer-experience
Issues similares
-
bug parity
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
WenyuChiou/agent-board#1489 ·
Los mantenedores suelen responder en 1 día
-
area: bazaar bug complexity: medium
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
accensa/x402-facilitator-stellar#779 ·
Los mantenedores suelen responder en 1 día
-
bug good first issue P4 size:S web-ui
Dificultad 2/5 Medio día Aptitud para principiantes 85/100
josephfung/curia#2600 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
cloudflare/partykit#444 ·