find-yarn-workspace depends on vulnerable package (CVE-2026-93687)
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 52/100
- Tipo de issue
- Nueva funcionalidad
- Claridad
- Bastante claro
- Estado de actividad
- Activo
- Stack tecnológico
- node.js, typescript
- Área
- devtools
Línea de trabajo
Read the two callsites for find-yarn-workspace-root and inspect the dependency tree shown in the npm audit output. Identify a suitable replacement and the changes needed to remove the vulnerable dependency; verify the two callsites still behave correctly and the advisory dependency is no longer present. The issue does not name the callsite files or tests.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Hello,
Please bear in mind that I would create a pull request myself for this issue, but my company has a policy wherein they retain ownership of works generated by me during work hours regardless of said works utility to their business operations. This would put me in conflict with the MIT license of your package. Otherwise I'd love to contribute to your project. Thanks for creating this simple yet very useful software. :)
At my work we do regular security scanning for releases, and patch-package has proved an invaluable little tool for getting our applications off the corporate "no-no" list. However, due to updates in our build pipeline (that's the best explanation I can give), patch-package needed to be moved from devDependency to dependency. Our scanner ignores devDependency packages, so this reclassification brought to light a minor security issue due one of the its sub-dependencies -see github advisory.
NPM audit output
└─┬ [email protected]
└─┬ [email protected]
└─┬ [email protected]
└── [email protected]
I investigated some and decided to raise the an issue here because because this package is being somewhat actively maintained. find-yarn-workspace receive its last release about six years ago, with similar dates for micromatch and braces.
Please consider replacing find-yarn-workspace-root with some other dependency. From what I saw in the codebase, there are only two real callsites.
Thanks for your consideration.
- Lenguaje dominante
- TypeScript
- Estrellas
- 11.2k
- Forks
- 327
- Métricas de merge de PR
- Sin PR fusionados en 30 d
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de ds300/patch-package
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 82/100
ds300/patch-package#617 · 1 reacción ·
-
No more working under npm 12Posiblemente ocupada @DinoscapeProgramming la tomó hace 80 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
ds300/patch-package#615 · 1 comentario · 5 reacciones ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
ds300/patch-package#216 ·
-
Patch file parse errorAbierto
Dificultad 3/5 1-2 días Aptitud para principiantes 25/100
ds300/patch-package#611 · 1 comentario ·
-
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
ds300/patch-package#610 · 4 comentarios · 1 reacción ·
Todos los issues de ds300/patch-package
Issues similares
-
area: server priority: P3 type: bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
appandflow/stim#4538 ·
Los mantenedores suelen responder en 1 día
-
[BUG] Published Docker images lack the redis extra: HEADROOM_COMPRESS_SESSION_STORE stops startupPosiblemente ocupada @AlessandroSpallina la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
headroomlabs-ai/headroom#4513 ·
Los mantenedores suelen responder en 1 día
-
bug extension extension: obsidian platform: Windows
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
raycast/extensions#32838 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
copy design-review mac P3
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
tosunlab/hisarapp-core#510 ·
-
bug priority-medium to-agent
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 1 día