Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Resolve 21 Dependabot alerts in frontend/package-lock.json

Abierto
  • ¿Algo no está bien?
#19 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
55/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
javascript, react, vite
Área
build-system, frontend, security

Línea de trabajo

Comienza con frontend/package-lock.json y las versiones declaradas de vite, vitest y react-router-dom; ejecuta npm audit y npm audit --omit=dev para confirmar las alertas enumeradas. Aborda primero las alertas de runtime de react-router, después evalúa las actualizaciones de las herramientas y ejecuta la suite de pruebas del frontend, que consta de 47 pruebas. Se considera terminado cuando las alertas de Dependabot aplicables estén resueltas sin romper las pruebas del frontend.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

What

GitHub reports 21 open Dependabot alerts on main (1 critical, 7 high, 12 moderate, 1 low). All of them are npm packages, all in frontend/package-lock.json. No Python dependency is affected.

They surfaced when #8 merged, which brought frontend/ onto the default branch for the first time. They are not new problems introduced by that PR — the lockfile simply became visible to Dependabot.

Most of this is build tooling, not shipped code

Splitting by what actually reaches a user's browser:

Runtime dependencies — 3 moderate (npm audit --omit=dev):

Package Vulnerable Patched
react-router >= 6.7.0, < 6.30.4 6.30.4
react-router-dom >= 6.30.2, <= 6.30.5 6.30.6
@remix-run/router >= 1.3.0, < 1.23.3 1.23.3

Everything else is dev/test/build tooling — vitest (the one critical), vite, esbuild, postcss, @babel/core, browserslist, nanoid, ws, form-data, jsdom. These run on developer machines and in CI. They do not ship to users.

That does not make them harmless — a compromised build tool can affect what gets built — but it does change the urgency. The critical vitest alert in particular reads much worse in the GitHub banner than it is in practice for this project.

Suggested approach

  1. Fix the three runtime react-router* alerts first. They are patch-level bumps within 6.x, so low risk.
  2. Then the tooling. npm audit fix handles part of it; the rest needs npm audit fix --force, which pulls in major-version bumps — vite 5 → 6+ and vitest 2 → 4 based on the patched versions Dependabot lists. That is a real upgrade, not a lockfile tweak, and should be its own change with the frontend test suite (47 tests) as the check.
  3. Consider enabling Dependabot version updates so the lockfile does not drift this far again.

Current declared versions: vite ^5.4.10, vitest ^2.1.5, react-router-dom ^6.28.0.

Note

Nothing here blocks #4, #5, #6 or #7. Filed so it is tracked rather than sitting as a banner on the repository.

Lenguaje dominante
Python
Estrellas
0
Forks
0
Merge medio
6 h 3 min
PR fusionados (30 d)
9

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de UtrechtUniversity/BackToPure

Todos los issues de UtrechtUniversity/BackToPure

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.