[email protected] still references tailwind-merge-v2 and tailwind-merge-v3 alias packages

Abierto
  • ¿Algo no está bien?
#1,672 1 comentario 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
48/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
react, tailwindcss, typescript
Área
frontend, security

Línea de trabajo

Inspecciona el package.json publicado de [email protected] y el archivo de bloqueo generado para rastrear dónde se hace referencia a tailwind-merge-v2 y tailwind-merge-v3. Se considera terminado cuando el paquete publicado ya no instala esos alias o proporciona una forma documentada para que los consumidores posteriores los eviten, y se hayan resuelto las advertencias de dependencias notificadas.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

  • I have searched the Issues to see if this bug has already been reported
  • I have tested the latest version

Steps to reproduce

  1. Install [email protected] in a React app
  2. Run npm install
  3. Inspect node_modules/flowbite-react/package.json or the generated lockfile

Current behavior

flowbite-react still brings in these alias dependencies:

Both of these aliases are being flagged by GitHub Advanced Security as well as npmjs as having contained malware: https://github.com/advisories/GHSA-53q4-wj32-3vv9 and https://github.com/advisories/GHSA-3679-84c2-v5xm

Because the aliases are referenced directly in the published package code it causes dependency review tooling to flag them in downstream projects and mark the project as insecure. Another issue on this topic is #1665 user closed it.

Expected behavior

I’d expect the published package to avoid installing the aliased tailwind-merge-v2 / tailwind-merge-v3 packages, or at least provide a path for downstream consumers to avoid them.

Context

We use flowbite-react in a corporate GitHub environment with dependency review on PRs. These alias packages are being flagged by security policy, which blocks merges for downstream consumers even though we do not reference them directly in our app.

Lenguaje dominante
TypeScript
Estrellas
2.1k
Forks
502
Sin PR fusionados en 30 d

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de themesberg/flowbite-react

Todos los issues de themesberg/flowbite-react

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.